AgentPublic/cnil huggingface dataset:
En premier lieu, il convient de rappeler qu’au terme du point h) de l’article 2 de la directive 95/46/CE, le consentement s’entend comme toute manifestation de volonté, libre, spécifique et informée de la personne concernée. 
Dans son avis n° 15/2011 du 13 juillet 2011, le G29 considère que  
Le consentement ne peut être valable que si la personne concernée est véritablement en mesure d’exercer un choix et s’il n’y a pas de risque de tromperie, d’intimidation, de coercition ou de conséquences négatives importantes si elle ne donne pas son consentement. Si les conséquences du consentement sapent la liberté de choix des personnes, le consentement n’est pas libre. 
En l’espèce, si les personnes concernées ont bien été informées de la transmission de leurs données, il apparait qu’elles n’ont pas pu manifester leur volonté de façon libre et spécifique. 
Il ressort tant des constatations que des informations fournies par la société que le refus de la personne concernée de donner son consentement à la transmission de ses données s’accompagne nécessairement d’une conséquence négative importante puisqu’elle sera contrainte de supprimer son compte et ne pourra utiliser l’application […].
Le G29 a également considéré dans l’avis précité que : Pour être valable, le consentement doit être spécifique. En d’autres termes, un consentement général, sans préciser la finalité exacte du traitement, n’est pas acceptable.
Pour être spécifique, le consentement doit être intelligible. Il doit mentionner, de façon claire et précise, l’étendue et les conséquences du traitement des données […] Le consentement doit être donné sur les différents aspects, clairement définis, du traitement. […] En effet, il ne saurait être considéré comme couvrant toutes les finalités légitimes poursuivies par le responsable du traitement. 
Or, les conditions d’utilisation et la politique de confidentialité, telles que mises à jour le 25 août 2016, ne permettent pas à l’utilisateur de comprendre avec un niveau de précision suffisant, quelle utilisation sera faite de ses données. En effet, il y est simplement indiqué que X reçoit des informations provenant de la famille de sociétés Y Inc et leur en transmet. Il est précisé : Nous pouvons utiliser les informations qu’ils nous envoient, et ils peuvent utiliser celles que nous leur transmettons, afin de nous aider à exploiter, fournir, améliorer, comprendre, personnaliser, prendre en charge et commercialiser nos Services et leurs offres. En outre, Y et les autres sociétés de la famille Y peuvent également utiliser des informations fournies par la société X pour améliorer vos expériences au sein de leurs services .
Par conséquent, si l’utilisateur consent de façon générale à la politique de confidentialité de la société afin d’installer l’application, il ne saurait être considéré que son consentement à la transmission de ses données à des tiers serait spécifique.
Il en résulte qu’il n’est pas possible de considérer que le consentement des utilisateurs est valablement recueilli par la société, faute d’être libre et spécifique.
En second lieu, l’intérêt légitime du responsable de traitement doit être apprécié d’une part, en tant que tel, et d’autre part, au regard de l’intérêt de la personne concernée et de ses droits et libertés fondamentaux, auquel l’intérêt légitime du responsable de traitement ne saurait porter atteinte. A cet égard, pour apprécier la légitimité de l’intérêt du responsable de traitement, il convient notamment de tenir compte de la proportionnalité du traitement de données au regard de ses finalités.
Il n’est pas contesté que la société dispose d’un intérêt légitime à transmettre les données de ses utilisateurs vers Y dans le but d’améliorer son service de messagerie instantanée. Il convient par conséquent de mettre en balance cet intérêt avec l’intérêt et les droits et libertés des personnes concernées.
Tout d’abord, Il ressort des informations communiquées par la société que les données à caractère personnel de l’ensemble des utilisateurs de l’application […] sont transmises à Y, même dans le cas où une personne utilisant […] ne posséderait pas de compte sur le site Y ou sur les autres plateformes gérées par les sociétés de la famille Y. Cela signifie que les données de ces personnes sont transmises à un autre responsable de traitement avec lequel elles n’entretiennent aucun lien.
Ensuite, dans son avis n°06/2014 du 9 avril 2014 s
ur la notion d’intérêt légitime poursuivi par le responsable de traitement
, le 
G29 considère que doivent être prises en compte dans la balance des intérêts  les garanties supplémentaires mises en place par le responsable du traitement afin de prévenir toute incidence injustifiée sur les personnes concernées. 
En l’espèce, si l’information délivrée par la société aux utilisateurs, à l’occasion de la mise à jour du 25 août 2016, a été complétée s’agissant du fait que leurs données seraient transmises, il ressort toutefois des informations fournies par la société que le seul moyen pour les utilisateurs de s’opposer à la transmission de leurs données à Y dans les cadres des deux premières finalités repose sur la suppression de leur compte. Cela ressort également  des conditions d’utilisation qui indiquent que  Vous pouvez supprimer votre compte […] à tout moment (notamment si vous voulez revenir sur votre acceptation relative à notre utilisation de vos informations) à l’aide de notre fonctionnalité de suppression de compte intégrée à l’application. 
Or, un mécanisme d’opposition reposant sur la suppression définitive d’un compte ne permet pas d’assurer un juste équilibre entre l’intérêt de la société et l’intérêt des personnes concernées en ce qu’il a pour conséquence de priver la personne de l’utilisation d’un service.
L’absence de mécanisme d’opposition doit également être analysée à la lumière des finalités poursuivies. En l’occurrence, si la seconde finalité (sécurité et sureté) peut passer pour essentielle au bon fonctionnement de l’application, il en va différemment de la première finalité dite de  business intelligence . En effet, une telle finalité vise à analyser le comportement des utilisateurs de l’application afin d’en améliorer les performances et d’en optimiser l’exploitation afin de permettre à la société d’étendre son activité. Ainsi, quand bien même une analyse business intelligence  des données peut dans une certaine mesure, contribuer à améliorer l’application au bénéfice des utilisateurs, d’une part, cette finalité n’apparait pas indispensable à son fonctionnement et d’autre part, l’avantage que tire la société de la transmission des données lui profite au premier chef. Chacun de ces points justifient que les utilisateurs puissent disposer du droit de s’y opposer, tout en continuant d’utiliser l’application.
La société X compte en France près de 10 millions d’utilisateurs de son application. La transmission des données de ces utilisateurs vers la société Y, dont le statut et la taille la rendent incontournable dans le paysage numérique mondial, renforce les possibilités dont cette société dispose pour établir un profil précis de chaque personne utilisant l’un de ses services et d’en tirer un avantage économique substantiel.
Ce traitement massif d’informations par un seul acteur et pour des finalités non clairement déterminées, entraine un déséquilibre au détriment de l’utilisateur qui ne peut être corrigé qu’en lui permettant de garder la maitrise de ses données. 
Au surplus, cette absence de mécanisme d’opposition est d’autant plus problématique pour les utilisateurs de […] qui ne disposent pas de compte […] et dont les données seront traitées par la société Y sans motif apparent.
Il en résulte que la transmission des données des utilisateurs vers Y par la société est dépourvue de base légale faute pour elle de respecter, dans la recherche de son intérêt légitime en tant que responsable de traitement, l’intérêt et les droits et libertés des personnes, en mettant à leur disposition un mécanisme d’opposition à la transmission de leurs données à caractère personnel.
Ces faits sont de nature à constituer un manquement aux dispositions de l’article 7 de la loi du 6 janvier 1978 modifiée.
 
Un manquement à l’obligation d’informer les personnes
La délégation a constaté que la société traite le numéro de téléphone de l’utilisateur et collecte, via le formulaire permettant de créer un compte sur l’application, les nom, prénom et de manière facultative la photographie. Il a été constaté que ce formulaire ne contient aucune information relative au traitement de données à caractère personnel s’agissant en particulier, des finalités pour lesquelles les données sont transmises à la société Y et des droits dont disposent les personnes concernées.
Ces faits constituent un manquement à l’article 32-I de la loi n°78-17 du 6 janvier 1978 modifiée qui dispose que :
 La personne auprès de laquelle sont recueillies des données à caractère personnel la concernant est informée, sauf si elle l'a été au préalable, par le responsable du traitement ou son représentant : 
1° De l'identité du responsable du traitement et, le cas échéant, de celle de son représentant ; 
2° De la finalité poursuivie par le traitement auquel les données sont destinées ; 
3° Du caractère obligatoire ou facultatif des réponses ; 
4° Des conséquences éventuelles, à son égard, d'un défaut de réponse ; 
5° Des destinataires ou catégories de destinataires des données ; 
6° Des droits qu'elle tient des dispositions de la section 2 du présent chapitre (droits des personnes à l’égard des traitements de données) dont celui de définir des directives relatives au sort de ses données à caractère personnel après sa mort ;
7° Le cas échéant, des transferts de données à caractère personnel envisagés à destination d'un Etat non membre de la Communauté européenne.
8° De la durée de conservation des catégories de données traitées ou, en cas d'impossibilité, des critères utilisés permettant de déterminer cette durée.
Lorsque de telles données sont recueillies par voie de questionnaires, ceux-ci doivent porter mention des prescriptions figurant aux 1°, 2°, 3° et 6°. 
 
Il est enfin rappelé qu’en application des articles 131-41 et R. 625-10 du code pénal combinés, le fait pour la personne morale responsable d’un traitement de ne pas informer, dans les conditions prévues à l’article 32 de la loi du 6 janvier 1978 modifiée, la personne auprès de laquelle sont recueillies des données à caractère personnel la concernant est puni d’une peine d’amende pouvant atteindre 7 500 euros.
 
Un manquement à l’obligation de coopérer avec la Commission
La société n’a pas apporté de réponses à l’ensemble des demandes formulées par la délégation de contrôle.
En effet, le questionnaire envoyé à la société lui demandait notamment de fournir les documents, contractuels ou non, encadrant les échanges de données entre X et les sociétés destinataires des données. Dans sa réponse du 27 février 2017, la société a indiqué ne pas comprendre la nature de la documentation sollicitée.
Par ailleurs, dans un courrier du 21 avril 2017, la délégation a demandé à la société de lui communiquer l’ensemble des données communiquées par X à Y pour un échantillon de mille utilisateurs situés sur le territoire français . Au cours de l’audition du 14 juin 2017, la société a indiqué que la transmission d’un tel échantillon se heurtait à des difficultés légales.
A la suite de l’audition du 14 juin 2017, la délégation a renouvelé ses demandes tendant à obtenir un échantillon des données et a demandé à obtenir communication de tout document montrant  que les traitements pour lesquels Y agit en qualité de sous-traitant de X sont mis en œuvre par Y sur instruction de X .
Le 20 juillet 2017, la société a indiqué avoir mis en place des contrats de sous-traitance avec la société Y et avec ses prestataires de service mais que de tels contrats étaient soumis à des obligations de confidentialité. Elle a par ailleurs indiqué que la loi française n’étant pas applicable, elle n’était pas en mesure de répondre favorablement à la demande d’échantillon de la CNIL.
Par courrier électronique du 7 aout 2017, la délégation a demandé à la société de lui fournir les instructions écrites communiquées par X à Y relatives au traitement des données dans les cadres des trois finalités.
En réponse à cette nouvelle demande, la société a indiqué ne pas être en mesure de communiquer les documents demandées en ce qu’ils sont soumis à des règles de confidentialité.
En réponse à une demande formulée par courrier électronique le 17 novembre 2017, la société a transmis, le 30 novembre 2017, un contrat conclu avec Y intitulé  Data Processing Agreement .
En conséquence, la Commission n’a pas obtenu l’échantillon des données transmises à Y. Faute d’avoir pu obtenir, par ailleurs, la liste exhaustive des données transmises à Y, la société n’ayant communiqué à la CNIL que des catégories de données illustrées par des exemples, la délégation de la CNIL s’est ainsi trouvée dans l’impossibilité d’examiner dans son ensemble, la conformité des traitements mis en œuvre par la société à la loi du 6 janvier 1978 modifiée.
Ces faits constituent un manquement à l’article 21 de la loi n° 78-17 du 6 janvier 1978 disposant que les (…) dirigeants d'entreprises publiques ou privées, responsables de groupements divers et plus généralement les détenteurs ou utilisateurs de traitements ou de fichiers de données à caractère personnel ne peuvent s'opposer à l'action de la commission ou de ses membres et doivent au contraire prendre toutes mesures utiles afin de faciliter sa tâche .
 
En conséquence, la société X, sise 
[…]
,
est mise en demeure, sous un délai de 
un (1) mois à compter de la 
notification de la présente décision et sous réserve des mesures qu’elle aurait déjà pu adopter, de :
ne pas procéder sans base légale à la transmission des données des utilisateurs vers la société Y dans le cadre de la première finalité de 
business intelligence  ;
procéder
à l’information des personnes auprès desquelles des données à caractère personnel sont collectées, dans les conditions prévues à l’article 32 de la loi du 6 janvier 1978 modifiée, notamment en faisant figurer sur le formulaire de création de compte, les mentions d’information prévues à cet article, en particulier les finalités pour lesquelles les données sont transmises à Y et les droits dont disposent les personnes concernées ;
communiquer à la Commission l’ensemble des données communiquées par X à Y pour un échantillon de mille utilisateurs situés sur le territoire français ;
justifier auprès de la CNIL que l’ensemble des demandes précitées a bien été respecté, et ce dans le délai imparti.
 
À l’issue de ce délai, si la société X s’est conformée à la présente mise en demeure, il sera considéré que la procédure est close et un courrier lui sera adressé en ce sens.
À l’inverse, s’il est constaté que la société X ne s’est pas conformée à la présente mise en demeure, un rapporteur pourra être désigné et demander à la formation restreinte de la Commission de prononcer l’une des sanctions prévues par l’article 45 de la loi du 6 janvier 1978 modifiée.
 
 
 
La Présidente
 
 
 
 
 
Isabelle FALQUE-PIERROTIN
Le bureau de la Commission nationale de l’informatique et des libertés, réuni le 12 décembre 2017 sous la présidence de Mme Isabelle FALQUE-PIERROTIN ;
Etaient aussi présents Mme Marie-France MAZARS, Vice-présidente déléguée, et M. Eric PERES, Vice-président ;
Vu la convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive n° 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 45 et 46 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 fixant le règlement intérieur de la Commission nationale de l’informatique et des libertés ;
Vu la décision n° 2017-075 du 27 novembre 2017 de la Présidente de la Commission mettant en demeure la société X.
 
A adopté la délibération suivante :
Par décision du 27 novembre 2017, la Présidente de la Commission a, sur le fondement de l’article 45 de la loi du 6 janvier 1978 modifiée, décidé de mettre en demeure la société X sise […], de faire cesser sous un délai d’un mois à compter de la notification de ladite décision, les manquements constatés à cette même loi, notamment celui relatif à l’obligation de disposer d’une base légale pour les traitements mis en œuvre.
 
En application de l’article 46 deuxième alinéa de la loi du 6 janvier 1978 modifiée, la Présidente de la CNIL a régulièrement convoqué le bureau de la Commission aux fins de statuer sur sa demande de rendre publique sa décision.
Le bureau a été réuni à cette fin le 12 décembre 2017.
 
Après en avoir délibéré, le bureau considère que la publicité de la décision de mise en demeure se justifie par la gravité des manquements dans la mesure où la société transmet à la société Y des données concernant les utilisateurs de son application de messagerie instantanée […], sans base légale. Les modalités de recueil du consentement préalable des utilisateurs à cette transmission ne sont en effet pas valables, notamment car ceux-ci ne peuvent s’y opposer a posteriori qu’en supprimant leur compte. Le bureau souligne que la publicité se justifie également par le nombre très important d’utilisateurs du service, à savoir dix millions de personnes en France.
Le bureau estime par ailleurs que la publicité de la mise en demeure se fonde sur la nécessité de mettre les personnes concernées en position de garder le contrôle de leurs données. Cet objectif ne saurait être atteint qu’en assurant le plus haut niveau de transparence sur la transmission massive de données de X vers Y qui participe à l’augmentation de la quantité d’informations dont dispose cet acteur, y compris, sur des non-utilisateurs de son réseau social.
 
Enfin, le bureau considère que la société a insuffisamment coopéré avec la CNIL, ce qui ne lui a pas permis d’appréhender pleinement la conformité des traitements mis en œuvre à la loi Informatique et Libertés.
 
En conséquence, le bureau de la Commission nationale de l’informatique et des libertés décide de rendre publique la décision n° 2017-075 de la Présidente de la CNIL mettant en demeure la société X.
 
Le bureau rappelle que cette mise en demeure ne revêt pas le caractère d’une sanction. À ce titre, aucune suite ne sera donnée à la procédure si l’organisme concerné se conforme en tout point aux exigences de la mise en demeure dans le délai imparti. Si tel est le cas, celle-ci fera l’objet d’une clôture qui sera également rendue publique.
 
La Présidente
 Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de commerce, notamment les chapitres 1 et 2 du titre 1 du livre VIII et les articles L. 611-3, L. 641-9, L. 811-1, L. 814-1 et son annexe 8-2 ;
Vu le code civil ;
Vu le code de procédure pénale, notamment son article 706-43 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 24-I ;
Vu le décret n° 91-1404 du 27 décembre 1991 autorisant l'utilisation du répertoire national d'identification des personnes physiques par les employeurs dans les traitements automatisés de la paie et de la gestion du personnel ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2015-999 du 17 août 2015 relatif aux procédures judiciaires applicables aux copropriétés en difficulté ;
Vu les délibérations de la commission n° 2004-096 et n° 2004-097 du 9 décembre 2004 décidant la dispense de déclaration des traitements de gestion des rémunérations mis en œuvre par l'Etat, les collectivités locales, les établissements publics et les personnes morales de droit privé gérant un service public et les personnes morales de droit privé autres que celles gérant un service public,
 
Après avoir entendu Mme Sylvie ROBERT, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
Conformément à l'article L. 811-1 du code de commerce, les administrateurs judiciaires sont les mandataires, personnes physiques ou morales, chargés par décision de justice d'administrer les biens d'autrui ou d'exercer des fonctions d'assistance ou de surveillance dans la gestion de ces biens. Aux termes de l'article L. 812-1 dudit code, les mandataires judiciaires sont les mandataires, personnes physiques ou morales, chargés par décision de justice de représenter les créanciers et de procéder à la liquidation d'une entreprise dans les conditions définies par le titre II du livre VI du code de commerce.
Ces professionnels sont inscrits sur une liste nationale. Toutefois, en application des articles L. 811-2 et L. 812-2 du code de commerce, des personnes n'étant pas inscrites sur ladite liste peuvent être désignées, par décision motivée du juge, comme faisant fonction d'administrateur judiciaire ou de mandataire judiciaire.
Dans le cadre de leurs activités d'administration ou de représentation ès-qualités de personnes morales ou physiques, les administrateurs judiciaires, les mandataires judiciaires ou les personnes désignées hors liste (ci-après les professionnels ) sont amenés à mettre en œuvre des traitements de données à caractère personnel.
En application de l'article 24-I de la loi du 6 janvier 1978 modifiée, la Commission est habilitée à établir des normes destinées à simplifier l'obligation de déclaration des traitements les plus courants et dont la mise en œuvre, dans des conditions régulières, n'est pas susceptible de porter atteinte à la vie privée ou aux libertés.
La commission estime que les traitements mis en œuvre par les administrateurs judiciaires et les mandataires judiciaires, dans le cadre de leur mandat, sont de ceux qui peuvent, sous certaines conditions, relever de cette définition.
Décide :
 
Article 1
Champ d'application.
Les professionnels peuvent être amenés à traiter des données à caractère personnel relevant de deux catégories de traitements :