AgentPublic/cnil huggingface dataset:
Le rapporteur considère que la société ne respecte pas ces dispositions ni les termes correspondants de la décision de la Présidente de la CNIL, qui la mettait en demeure de définir une durée de conservation des données qu'elle collecte auprès de ses d'utilisateurs en fonction des finalités poursuivies par les différents traitements mis en œuvre.
En effet, celle-ci n'avait pas accédé aux demandes déjà formulées en ce sens par le G29, bien qu'elle se soit d'ores et déjà engagée publiquement à respecter trois types de durées de conservation précises : l'effacement du dernier octet des adresses IP dans les journaux des serveurs de X (9 mois) ; la validité des cookies déposés dans les navigateurs des utilisateurs (2 ans) ; l'anonymisation du numéro de cookie dans les journaux des serveurs de la société (18 mois). Elle n'a défini aucune durée de conservation précise pour les autres données qu'elle collecte et traite. 
Pour le reste et concernant les autres données, la société soutient qu'elle respecte les dispositions de l'article 6-5°). 
- A cet effet, elle considère, en premier lieu, qu'il ne lui incombe pas de définir des échéances fermes et préfixées concernant les durées de stockage des données. Elle soutient que la loi n'impose pas la définition de durées strictes, mais uniquement une obligation qu'elle respecterait de procéder à une analyse de proportionnalité en fonction des finalités pour lesquelles les données sont collectées.
La formation restreinte relève, cependant, que, faute d'éléments concrets, la réponse évasive de la société ne lui permet pas de décider si cette analyse de proportionnalité est correcte, ni même si elle existe. En tout état de cause, les durées de conservation devant être définies en fonction des finalités pour lesquelles les données sont collectées, et ces finalités n'ayant pas été préalablement définies par la société de manière adéquate, il est légitime de considérer que celle-ci ne respecte pas les dispositions de l'article 6-5°). 
En outre, la société ne conteste pas n'avoir mis en place aucune politique de gestion des durées définies et des mécanismes de suppression automatiques correspondants. En revanche, elle soutient qu'elle a mis en place de systèmes de sauvegarde fiables pour protéger les utilisateurs contre la suppression accidentelle ou malveillante de leurs informations. Les périodes de conservation liées à la suppression des données dépendraient, avant tout, du service ou du système de sauvegarde concerné. Ainsi, les données de bande de sauvegarde de la société sont régulièrement supprimées par destruction des clés de chiffrement, rendant les données inaccessibles ; en procédant à une telle destruction, la société respecterait ainsi les dispositions de l'article 6-5°).
Sur ce point, il importe toutefois de rappeler que l'obligation légale imposant à la société de définir des durées de conservation précises constitue une garantie fondamentale en matière de protection de la vie privée des personnes. Il s'agit en effet de prévenir que des données révélant notamment leur intimité (fichiers, courriels, photos, etc.) soient conservées sans limitation, au-delà de ce que celles-ci peuvent légitimement attendre de la société. 
Compte tenu de l'importance de cette exigence, la société ne peut arguer de la seule mise en place de politiques de sécurité informatique, non-étayées d'éléments concrets, pour revendiquer la conformité à la loi sur ce point. En effet, la loi prévoit expressément que ces durées de conservation doivent être fixées en fonction des finalités des traitements. Elles ne sauraient donc dépendre des échéances d'un calendrier de maintenance informatique, mais d'une prise en compte effective de la vie privée des utilisateurs. 
La formation restreinte considère donc qu'il appartient au contraire à la société de définir des durées précises pour l'ensemble des données qu'elle traite. Une telle mesure s'imposait d'autant plus en l'espèce que les personnes ne sont pas clairement informées de l'ampleur de la collecte des données opérées sur elles.
- Par ailleurs, la société indique qu'elle communique les durées de conservation qu'elle met en œuvre aux utilisateurs lorsque cela est utile, comme elle l'a fait pour l'anonymisation des adresses IP au-delà de 9 mois et celle des cookies des fichiers journaux des serveurs au-delà de 18 mois. 
Pour certaines composantes de son service, elle indique appliquer des durées de conservation bien plus courtes, compatibles avec la finalité du traitement - qu'elle ne précise cependant pas. 
En tout état de cause, elle soutient que, bien que la relation qui lie la société à ses utilisateurs implique que ceux-ci en utilisent plus ou moins de composants, il est légitime qu'elle conserve leurs données tant qu'elle continue d'entretenir une relation avec eux, pour leur permettre de continuer à utiliser sans interruption les différentes composantes du service de X. La durée de conservation en découlant varie donc en fonction de la personne physique, si bien qu'une durée de conservation imposée de manière arbitraire serait inappropriée et irait même, selon elle, à l'encontre de la loi informatique et libertés. 
La formation restreinte ne souscrit pas à cette interprétation. 
En dépit de ce qu'affirme la société, les critères selon lesquels elle détermine les durées de conservation des données de ses utilisateurs demeurent flous et indéterminés ; de ce fait, ils ne satisfont pas aux exigences de la loi.
Certes, la fixation de durées de conservation définies ne saurait avoir pour objet ni pour effet de supprimer des données des utilisateurs alors qu'eux-mêmes en auraient encore l'usage. En effet, le point de départ d'une durée de conservation n'est pas fonction de la date de la collecte, mais bien de la suppression du compte utilisateur. La fixation de ce point de départ autorise donc la société à conserver ces données des années durant, si nécessaire. Contrairement à ce que soutient la société, elle ne présente donc aucun caractère d'arbitraire. 
En tout état de cause, il appartient bien à la Commission de vérifier dans quelles conditions la société traite des données dont des utilisateurs n'ont plus la maîtrise et dont on peut valablement penser qu'elles ont été supprimées. C'est pourquoi la société est tenue d'indiquer à la Commission quelles durées de conservation elle applique aux données qu'elle collecte, quand bien même elle ne les indiquerait pas aux utilisateurs eux-mêmes, comme elle pourrait le faire.
- Enfin, la société soutient que si la CNIL considère qu'elle ne respecte pas les dispositions de l'article 6-5°) de la loi, il lui appartient de démontrer, pour chaque catégorie de données personnelles, le fondement juridique de sa position. 
Or, en l'absence de détermination de finalités précises pour chacun des traitements qu'elle met en œuvre, la société ne peut requérir de la Commission qu'elle lui indique de telles durées de conservation.
Au vu de ce qui précède, la formation restreinte constate que la société ne respecte ni les dispositions de l'article 6-5°) de la loi ni les termes de la mise en demeure sur ce point. 
6. Sur le manquement à l'article 7 de la loi du 6 janvier 1978 modifiée
Les règles de confidentialité de la société, dans leur version applicable à l'issue du délai imparti par la mise en demeure, c'est-à-dire au 27 septembre 2013, prévoient que les informations personnelles que vous fournissez pour l'un de nos services sont susceptibles d'être combinées avec celles issues d'autres services de X (y compris des informations personnelles), par exemple pour faciliter le partage de vos informations avec des personnes que vous connaissez. Le recoupement de données en provenance de cookies DoucleClick avec des données permettant de vous identifier n'est possible qu'avec votre accord explicite.
Cette disposition autorise la société à procéder à la combinaison de l'intégralité des données qu'elle collecte sur ses utilisateurs à travers l'ensemble de ses services, qu'ils soient authentifiés, non authentifiés ou passifs, que ce soit sur les données d'un même utilisateur ou entre les données de plusieurs utilisateurs.
Ainsi, concernant les utilisateurs authentifiés, les données renseignées dans un compte utilisateur peuvent être associées aux données dérivées de l'utilisation de tous ses services par ce même utilisateur ; ces données pourront alors être utilisées par l'ensemble de ceux-ci, qu'ils ne soient accessibles qu'aux utilisateurs authentifiés ou à toutes les catégories d'utilisateurs des services de la société. Les données relatives aux utilisateurs actifs non-authentifiés que la société collecte notamment à travers les cookies [...] et [...] sur l'ensemble de ses sites, les cookies [...] sur les services [...] et [...], les cookies DoubleClick sur [...], etc., seront également combinées entre elles, de même que les données issues des cookies DoubleClick et [...] qui la renseigneront sur les visites de l'utilisateur sur des sites tiers. Ces données seront associées entre elles et utilisées par tout autre service, par exemple pour personnaliser des résultats de recherche. Quant aux jeux de données que la société recueillera à travers ces cookies sur les seuls utilisateurs passifs, ils seront combinés entre eux à des fins d'analyse, d'affichage de publicités personnalisées ou de développement produit.
- De telles combinaisons sont soumises à l'application de l'article 7 de la loi n° 78-17 du 6 janvier 1978 modifiée dont les dispositions pertinentes prévoient que, pour être mis en œuvre, de tels traitements doivent avoir reçu le consentement de la personne concernée ou satisfaire à l'une des conditions suivantes : (...) 4°) L'exécution, soit d'un contrat auquel la personne concernée est partie, soit de mesures précontractuelles prises à la demande de celle-ci ; 5°) La réalisation de l'intérêt légitime poursuivi par le responsable du traitement ou par le destinataire, sous réserve de ne pas méconnaître l'intérêt ou les droits et libertés fondamentaux de la personne concernée.
La Présidente de la Commission a estimé que la société procédait à cette combinaison de données sans respecter ces impératifs. Elle l'a donc mise en demeure de ne pas procéder, sans base légale, à la combinaison potentiellement illimitée des données des utilisateurs, quel que soit leur statut.
- La société, pour sa part, se défend de ne pas respecter la loi sur ce point. Elle soutient au contraire qu'elle peut se fonder sur plusieurs des critères de l'article 7 de la loi pour prouver la légitimité des traitements auxquels elle procède, ceux-ci variant en fonction de la nature des données, du traitement et de la relation qu'elle entretient avec l'utilisateur, et, de manière plus générale, des circonstances. Dans de nombreux cas, elle considère qu'elle peut même s'appuyer sur plusieurs de ces critères pour légitimer une opération de traitement de données. 
Il appartient donc à la formation restreinte de se prononcer sur la validité de chacun des fondements que la société invoque pour légitimer la combinaison des données à laquelle elle procède sur ses utilisateurs.
- En premier lieu, la société soutient qu'elle peut s'appuyer sur le recueil du consentement des utilisateurs dans de nombreux cas. 
Concernant les utilisateurs authentifiés, le consentement se manifesterait par le fait que l'utilisateur coche la case matérialisant son accord aux conditions d'utilisation et aux règles de confidentialité. Ce consentement serait éclairé du fait que les informations données dans les règles seraient suffisamment précises sur les opérations de traitement des données.
La formation restreinte rappelle que la validité du consentement de l'utilisateur est soumise à la triple condition que celui-ci soit libre, spécifique et informé, comme le prévoit l'article 2(h) de la directive 95/46/CE. 
En l'espèce, elle relève que la mention de cette faculté de combinaison n'apparaît qu'au milieu des règles de confidentialité, dans le dernier tiers de la rubrique intitulée Comment nous utilisons les données que nous collectons. Cette information, alors qu'elle a trait à une modification essentielle de la politique de confidentialité de la société, n'est donc pas accessible aux utilisateurs en première intention. Par ailleurs, elle ne se distingue pas des développements qui l'entourent, eux-mêmes formulés en termes généraux, notamment quant à la description des traitements de données, comme il a été dit plus haut. Il est donc impossible de considérer en l'espèce que le fait de cliquer sur la case J'accepte des conditions d'utilisation puisse être considéré comme un accord explicite et spécifique à cette combinaison.
Par ailleurs, en se contentant de prévoir que les informations personnelles que vous fournissez pour l'un de nos services sont susceptibles d'être combinées avec celles issues d'autres services de X (y compris des informations personnelles), par exemple pour faciliter le partage de vos informations avec des personnes que vous connaissez , la société n'a pas suffisamment précisé la nature de la combinaison qu'elle compte opérer sur les données personnelles de ses utilisateurs pour que ceux-ci puissent être réputés avoir compris la portée de leur accord. 
En particulier, il est établi que les données qu'un même utilisateur génèrera alors qu'il sera successivement authentifié, actif non-authentifié (y compris après s'être déconnecté de son compte) ou encore passif (c'est-à-dire quand il visitera des sites tiers intégrant un outil de X comme DoubleClick ou le bouton +1) seront cumulées entre elles. Or, il est impossible de soutenir que la formulation générale figurant dans les règles de confidentialité permet à l'utilisateur authentifié qui se sera déconnecté de comprendre que ses données continueront cependant d'être traitées puis combinées par la société avec celles figurant dans son compte personnel. 
La société est d'autant moins légitime à soutenir que l'utilisateur est clairement informé de la portée de son accord qu'elle ne diffuse plus la liste intégrale des services qu'elle propose et qui seront concernés par cette combinaison.
De surcroît, la formation restreinte relève que la société revendique le fait que le recoupement de données en provenance de cookies DoubleClick avec des données permettant de vous identifier n'est possible qu'avec votre accord explicite. Or, la société traitera l'ensemble des données de navigation issues de sites tiers intégrant l'outil DoucleClick pour créer des profils utilisateurs à des fins de ciblage publicitaire, que les personnes concernées soient ou non des utilisateurs authentifiés. Les données collectées par ce biais seront associées aux données figurant dans les comptes utilisateurs [...] quand les personnes concernées accèderont ultérieurement à des services requérant leur authentification préalable, et ce alors même que leur consentement spécifique n'aura pas été recueilli en amont. Il est donc inexact de la part de la société, qui n'apporte aucun élément probant en défense sur ce point, de se prévaloir du contraire dans ses règles de confidentialité. 
Concernant les utilisateurs non-authentifiés, la société soutient que le consentement des utilisateurs se matérialise à travers leur utilisation continue du service de X, en conformité avec les conditions d'utilisation, que leur consentement concernant les cookies serait recueilli par le biais de notices et de mécanismes spécifiques et qu'un consentement plus détaillé peut occasionnellement être requis au moment de la collecte ou de l'utilisation des données quand elle l'aura estimé nécessaire et/ou approprié.
Sur ce point, la formation restreinte ne considère pas que la seule utilisation d'un service puisse valoir consentement d'un utilisateur non-authentifié aux traitements de ses données ni, a fortiori, à leur combinaison, dès lors que, par construction, il n'aura pas été préalablement mis en mesure de prendre connaissance des conditions d'utilisation ou des règles de confidentialité sur ce point. 
De même, il est impossible de revendiquer le moindre consentement de la part des utilisateurs passifs qui n'auront aucune conscience du fait que leurs données seront recueillies à l'occasion de leur navigation sur un site tiers faisant appel à un outil de X ou de l'envoi d'un message à un utilisateur de [...]. 
Ainsi, l'information relative à la combinaison des données des utilisateurs n'est pas suffisamment visible ni explicite pour que la validation des règles de confidentialité puisse être considérée comme un consentement explicite et éclairé de la part des utilisateurs authentifiés, et la société ne recueille aucun consentement de la part de ses utilisateurs actifs non authentifiés et passifs. 
Le critère du consentement des utilisateurs ne peut donc pas être revendiqué par la société pour légitimer la combinaison de leurs données, quel que soit leur nature.
- S'agissant en deuxième lieu des données nécessaires à l'exécution d'un contrat, la société précise que la relation avec ses utilisateurs est régie par les conditions d'utilisation qui constitueraient le cadre contractuel global entre X et ses utilisateurs. Ce faisant, elle ne fait aucune distinction entre les trois catégories d'utilisateurs dont les données sont collectées à travers ses services sur le seul fondement de ses règles de confidentialité. 
A cet égard, la formation restreinte constate que ni les utilisateurs actifs non authentifiés ni les utilisateurs passifs n'ont jamais accepté les conditions d'utilisation de la société. En l'absence de tout contrat les liant à la société, leurs données ne peuvent donc être considérées comme pouvant être traitées et combinées dans le cadre de l'exécution d'un contrat. 
En outre, la formation restreinte relève que l'éventuelle combinaison des données des utilisateurs n'est aucunement nécessaire à l'exécution du contrat dont la société revendique qu'il la lie à eux. En effet, comme l'indiquent les règles de confidentialité, la combinaison des données des utilisateurs n'est que susceptible de se produire, par exemple pour faciliter le partage de vos informations avec des personnes que vous connaissez. Cet exemple illustre clairement que le traitement de ces données n'est pas nécessaire pour que la société puisse exécuter un contrat qui la lierait aux utilisateurs.
Le critère de l'exécution d'un contrat ne peut donc pas davantage être invoqué par la société pour légitimer la combinaison des données des utilisateurs, quel que soit leur statut. 
- La société fait enfin valoir qu'il relève de son intérêt légitime de pouvoir procéder à la combinaison des données de ses utilisateurs (qu'ils soient authentifiés ou non) afin de leur garantir la meilleure qualité de service possible. Elle soutient que ses intérêts convergent avec ceux de l'utilisateur qui souhaite pouvoir utiliser ses services et bénéficier de la meilleure qualité disponible, si bien que, leurs intérêts respectifs se rejoignant, les siens propres ne peuvent qu'être qualifiés de légitimes. 
De fait, l'amélioration de la qualité de ses services relève incontestablement des intérêts de la société qui peuvent être qualifiés de légitimes au sens de la loi. 
Pour autant, la formation restreinte relève que la société a prévu de procéder à la combinaison potentiellement illimitée de toutes les données qu'elle collecte sur chacun de ses utilisateurs, quel que soit leur statut, et alors même qu'elle n'a pas déterminé les durées de conservation qui leur seraient applicables. Cette combinaison est donc de nature à méconnaître les intérêts des utilisateurs et à porter atteinte à leur droit au respect de la vie privée.
Il appartient donc à la formation restreinte de juger si l'intérêt ou les droits et libertés fondamentaux des personnes concernées sont suffisamment préservés en l'espèce pour que l'équilibre qu'a prescrit le législateur entre ces deux catégories d'intérêts soit atteint. 
Pour sa part, la société soutient que son intérêt légitime n'outrepasse pas les droits et intérêts de ses utilisateurs dès lors qu'elle leur fournit des outils pour exercer leurs droits, ainsi que de l'information détaillée dans ses règles de confidentialité ou dans les notices contextuelles applicables à certains services.
Sur ce point, la formation restreinte relève que la société a effectivement développé des outils visant à permettre aux utilisateurs d'exercer un contrôle sur la collecte et le traitement de leurs données, mais que leur portée et leur présentation ne sont pas de nature à rendre ce contrôle effectif pour l'ensemble des utilisateurs, quel que soit leur statut.
Ainsi, [...] qui permet de visualiser les données associées à son compte [...] n'est disponible qu'aux utilisateurs authentifiés. S'il permet à ceux-ci de désactiver ou de supprimer l'historique de leurs recherches dans leur compte, il ne leur permet en revanche pas d'effacer toutes les données les concernant dans les journaux des serveurs de X.
L'outil dit de visualisation du profil publicitaire, s'il est quant à lui accessible à l'ensemble des utilisateurs de la société, tous statuts confondus, n'est cependant plus référencé sur la page principale de la politique de confidentialité, comme ce fut le cas jusqu'au 1er mars 2012. Pour y accéder, l'utilisateur doit naviguer à travers plusieurs rubriques successives, dont les intitulés ne permettent pas toujours de comprendre qu'elles mènent à l'outil qui permet de moduler la portée du ciblage dont les utilisateurs sont l'objet (règles et principes, puis publicité dans la rubrique quelques informations de nature technique, enfin paramètres des annonces). 
En tout état de cause, ce module ne permet pas aux utilisateurs authentifiés de contrôler effectivement la combinaison de leurs données, encore moins de s'y opposer, puisque ceux-ci ne peuvent que supprimer ou désactiver l'historique de leur navigation et les centres d'intérêt que la société leur a elle-même attribués en fonction de leur comportement en ligne. 
Quant aux utilisateurs non authentifiés (actifs ou passifs), ils ne peuvent que gérer les critères de ciblage publicitaire qui les concernent, c'est-à-dire désactiver le ciblage publicitaire ou s'opposer au dépôt de cookies DoubleClick. En outre, ce module ne fonctionne pas sur l'ensemble des appareils, notamment sur les smartphones, et, en tout état de cause, il ne permet pas aux utilisateurs de s'opposer à la combinaison de l'ensemble de leurs données.
Ainsi, contrairement à ce que soutient la société, les droits dont bénéficient les utilisateurs ne leur confèrent pas un large pouvoir de contrôle sur le principe même, le moment de la fourniture de données et sur la manière dont celle-ci sont utilisées et ne lui permettent (pas) de modifier, restreindre ou mettre un terme au traitement de ses données. 
La formation restreinte estime donc que la société ne peut se prévaloir, pour chacun de ses utilisateurs, d'un recueil du consentement, de la nécessité d'exécution d'un contrat ou d'un juste équilibre entre son intérêt légitime et les droits fondamentaux de ses utilisateurs. 
Elle ne respecte donc ni les dispositions de l'article 7 de la loi ni les termes de la mise en demeure sur ce point. 
Sur les manquements constatés
En conséquence, eu égard à la persistance des manquements précités, tels qu'ils ont été préalablement constatés dans la mise en demeure prononcée par la Présidente de la Commission le 10 juin 2013, la société X verra prononcer à son encontre une sanction pécuniaire d'un montant de 150 000 € (cent cinquante mille euros). 
La formation restreinte décide également de rendre sa décision publique sur le site Internet de la Commission.