AgentPublic/cnil huggingface dataset:
Sur le premier point, la formation restreinte considère qu’en exigeant un déréférencement sur toutes les terminaisons du moteur de recherche, la Présidente de la CNIL a fait application des articles 38 et 40 de la loi Informatique et Libertés, qui transposent les articles de la directive de 1995, tels qu’interprétés par la CJUE dans sa décision précitée et a ainsi rempli la mission générale que lui a confiée le législateur de veiller au respect de cette loi (article 11 de la loi Informatique et Libertés). Le grief d’imprévisibilité doit donc être écarté. 
 
Elle retient également que la demande formulée par la mise en demeure du 21 mai 2015, qui avait été précédemment énoncée par lettre du 9 avril 2015 et lui accordait un délai pour se mettre en conformité, était dépourvue d’ambiguïté. 
 
Sur le second point, la formation restreinte relève que la mise en demeure est fondée sur huit plaintes expressément visées par la décision. En tout état de cause, la mise en œuvre des pouvoirs répressifs de la CNIL n’est pas subordonnée à l’existence d’une plainte et ne vise pas à réparer le préjudice éventuel d’un plaignant, mais uniquement à faire corriger ou à sanctionner un manquement à la loi du 6 janvier 1978 modifiée. 
 
En deuxième lieu, la société soutient que la CNIL excède ses pouvoirs en lui imposant une mesure ayant une portée extraterritoriale.
Elle soutient que la loi n°78-17 du 6 janvier 1978 modifiée n’est pas applicable aux requêtes effectuées sur le moteur de recherche hors de France, lesquelles correspondent à une activité qui n’est ni dirigée vers les internautes français ni indissociablement liée à celle de sa filiale française.
 
Sur ce point, la formation restreinte considère que la société part du postulat qu’il existerait autant de traitements liés au service […] que d’extensions locales du moteur de recherche, alors qu’il s’agit d’un traitement unique doté de multiples chemins d’accès techniques. 
 
Les modalités de consultation du moteur de recherche, qu’il s’agisse de l’origine géographique de l’internaute effectuant la recherche, de la langue utilisée pour afficher les résultats, du classement des résultats dans la liste et des termes mêmes de la recherche, constituent autant d’opérations relevant d’un même traitement. A cet égard, il convient de rappeler que les différentes extensions géographiques du moteur de recherche ont été créées au fil du temps par la société afin de proposer un service adapté à la langue nationale de chaque pays alors qu’elle n’exploitait initialement son service que par l’intermédiaire de l’unique nom de domaine […].
C’est également la position retenue par la CJUE qui précise dans sa décision du 13 mai 2014 : il convient de constater que, en explorant de manière automatisée, constante et systématique Internet à la recherche des informations qui y sont publiées, l’exploitant d’un moteur de recherche collecte de telles données qu’il extrait, enregistre et organise par la suite dans le cadre de ses programmes d’indexation, conserve sur ses serveurs et, le cas échéant, communique à et met à disposition de ses utilisateurs sous forme de listes des résultats de leurs recherches. Ces opérations étant visées de manière explicite et inconditionnelle à l’article 2, sous b), de la directive 95/46, elles doivent être qualifiées de traitement au sens de cette disposition (...) (point 28).
En conséquence, la loi Informatique et Libertés est applicable à l’intégralité du traitement lié au service […] dans la mesure où, au sens de l’article 5-I-1° de cette loi Informatique et Libertés, la société Y participe, sur le territoire national, à l’activité de l’exploitant du moteur de recherche installé […], ainsi que l’a énoncé la décision précitée : Il découle de ce qui précède qu’il convient de répondre à la première question, sous a), que l’article 4, paragraphe 1, sous a), de la directive 95/46 doit être interprété en ce sens qu’un traitement de données à caractère personnel est effectué dans le cadre des activités d’un établissement du responsable de ce traitement sur le territoire d’un État membre, au sens de cette disposition, lorsque l’exploitant d’un moteur de recherche crée dans un État membre une succursale ou une filiale destinée à assurer la promotion et la vente des espaces publicitaires proposés par ce moteur et dont l’activité vise les habitants de cet État membre (point 60). 
 
Par ailleurs, il entre dans les pouvoirs de la Commission de déterminer les modalités de déréférencement dès lors que le traitement en cause est mis en œuvre, au sens de l’article 48 de la loi Informatique et Libertés, en tout ou partie, sur le territoire national, y compris lorsque le responsable du traitement est établi sur le territoire d’un autre Etat membre de la Communauté européenne.
La société fait également valoir qu’un déréférencement sur toutes les terminaisons du moteur de recherche enfreint le principe de droit international de courtoisie et affecte la souveraineté des Etats en raison de ses effets extraterritoriaux. 
 
En réponse à cette argumentation, la formation restreinte rappelle que seules sont en cause les personnes ayant leur résidence en France, dont il convient de faire respecter les droits de manière efficace et complète comme l’exige la Cour de justice dans sa décision (points 34, 38, 53, 58 et 84). En l’espèce, le droit au déréférencement, dérivé des droits d’opposition et de suppression des données, est attaché à la personne. Lorsqu’il trouve à s’appliquer, il doit être effectif sans restriction sur l’ensemble du traitement, quand bien même il serait susceptible d’entrer en conflit avec des droits étrangers. 
 
En troisième lieu, la société soutient, en substance, qu’un déréférencement mondial contreviendrait de manière disproportionnée à la liberté d’expression et d’information.
D’une part, la formation restreinte rappelle que le déréférencement n’entraîne aucune suppression de contenu sur Internet, ni même de désindexation des pages des sites web concernées (ce qui consisterait en un retrait pur et simple des liens recherchés des résultats du moteur de recherche). Il consiste uniquement, à la demande d’une personne physique, à retirer de la liste des résultats d’une recherche effectuée à partir de ses seuls prénom et nom, des liens renvoyant vers des pages de sites web. Ces pages demeurent accessibles lorsque la recherche est opérée à partir d’autres termes. 
 
D’autre part, la décision de déréférencer n’est prise, comme le précise la Cour de justice, que si les conditions d’application des droits d’opposition (soumis à la preuve d’un intérêt légitime) ou de suppression (conditionné notamment à la démonstration du caractère obsolète, incomplet ou erroné de l’information litigieuse) sont réunies. Elle intervient ainsi à l’issue d’un contrôle de proportionnalité destiné à préserver le strict équilibre entre, d’une part, le respect des droits à la vie privée et à la protection des données personnelles des personnes et, d’autre part, l’intérêt du public à accéder à l’information, notamment en cas de rôle joué dans la vie publique par le demandeur.
Une limitation des déréférencements aux extensions européennes apparaît, d’une part, infondée dans la mesure où les différents noms de domaines ([…] pour la France, […] pour l’Espagne, […] pour l’Australie etc.) ne représentent que des chemins techniques permettant d’accéder à un traitement unique, et, d’autre part, imparfaite dans la mesure où les liens déréférencés demeurent accessibles depuis les extensions non européennes du moteur de recherche. 
 
Ainsi tout internaute, où qu’il se situe, est à même d’avoir accès à des pages web déréférencées en effectuant sa recherche à partir d’une extension non européenne du moteur de recherche. 
 
Une telle mesure ne permet pas de répondre aux impératifs d’efficacité, de complétude, d’effectivité et de non contournement qui s’imposent au regard de la décision précitée de la CJUE en ce que l’atteinte à la vie privée et à la protection des données à caractère personnel des personnes concernées persiste. 
 
Dès lors, seul un déréférencement sur l’ensemble du moteur de recherche est de nature à permettre une protection effective des droits des personnes. 
 
En conséquence, la formation restreinte considère que c’est à bon droit qu’il a été reproché à la société, dans la décision de mise en demeure du 21 mai 2015, de ne pas procéder aux déréférencements sur toutes les extensions du nom de domaine du moteur de recherche.
Dans la mesure où aucune modification n’a été apportée par la société X dans le délai imparti par la mise en demeure, malgré la tenue d’une réunion explicative avec les services de la Commission et la prorogation du délai, le manquement aux articles 38 et 40 précités est caractérisé.
 
Dans une lettre adressée à la Présidente du G29 le 21 janvier 2016, soit postérieurement à l’échéance du délai de mise en conformité, la société a pris l’engagement d’améliorer son dispositif de déréférencement. Elle indique que celui-ci sera étendu à l’intégralité des extensions de son moteur de recherche (dont les versions déclinées pour les pays situés hors de l’Union européenne) lorsque la requête apparait comme émanant du pays du demandeur, (...), le pays étant déterminé en priorité par l’adresse IP de l’utilisateur. 
 
La formation restreinte note que cette modalité constitue une avancée. 
 
Toutefois, elle relève que le critère de la localisation de l’adresse IP, qui fait varier la protection accordée à un résident européen en fonction de l’origine géographique de celui qui interroge le moteur de recherche, n’est par principe pas satisfaisant en ce que, d’une part, l’information déréférencée demeure consultable par tout internaute situé en dehors du territoire concerné par la mesure de filtrage et, d’autre part, qu’un contournement de cette mesure par les utilisateurs concernés demeure possible.
En effet, appliquée à la France, cette solution empêche un résident français d’accéder au contenu déréférencé depuis le territoire français mais non hors de ce territoire. Ainsi, il pourra toujours y avoir accès lors d’un séjour dans l’Union européenne en interrogeant une extension hors Union européenne du moteur de recherche depuis une connexion Wi-fi ou encore lors d’un déplacement hors Union européenne, quel que soit le type de connexion utilisée, en interrogeant la version locale du moteur de recherche. 
 
Par ailleurs, les zones frontalières du territoire national bénéficiant souvent d’une double couverture par le réseau téléphonique français et par le réseau téléphonique étranger, un résident français pourra échapper à la mesure de filtrage par l’attribution d’une adresse IP étrangère alors même qu’il se situe sur le territoire national. 
 
Enfin, il existe des solutions techniques qui permettent de contourner la mesure de filtrage proposée par la société en permettant à l’internaute de choisir l’origine géographique de son adresse IP (utilisation d’un VPN par exemple).
En tout état de cause, n’importe quel internaute situé en dehors du territoire français ne sera pas concerné par la mesure de filtrage et pourra continuer à avoir accès aux informations déréférencées en interrogeant les extensions non européennes du moteur de recherche s’il réside dans l’Union Européenne ou n’importe quelle version de […] s’il se situe en dehors de l’Union européenne. Or, la protection d’un droit fondamental ne peut varier en fonction du destinataire de la donnée. Le droit européen, comme le droit national, prévoit que la personne concernée peut exercer son droit à l’égard d’un traitement de données, sans que les éventuelles différences de destinataires n’aient d’incidence. 
 
Ainsi, la solution proposée par la société demeure incomplète. 
 
Cette mesure complémentaire ne permet pas d’atteindre l’objectif imposé par la directive, et rappelé par la Cour de justice, de permettre aux résidents européens de bénéficier d’une protection efficace et complète de leurs droits fondamentaux, dont la Commission est chargée d’assurer le respect s’agissant des demandes de déréférencement présentées par des résidents français. 
 
Seule une mesure s’appliquant à l’intégralité du traitement lié au moteur de recherche, sans distinction entre les extensions interrogées et l’origine géographique de l’internaute effectuant une recherche est juridiquement à même de répondre à l’exigence de protection telle que consacrée par la CJUE.
La formation restreinte considère que la solution proposée après expiration du délai imparti n’aurait, en tout état de cause, pas permis de justifier d’une mise en conformité avec le dispositif de la mise en demeure ni d’assurer le plein respect des articles 38 et 40 précités. 
 
Sur la sanction et la publicité
 
Eu égard à la persistance des manquements aux articles 38 et 40 de la loi n°78-17 du 6 janvier 1978 modifiée, tels qu’ils ont été préalablement constatés dans la mise en demeure adoptée par la Présidente de la Commission le 21 mai 2015, il sera prononcé à l’encontre de la société X une sanction pécuniaire publique d’un montant de 100 000 € (cent mille euros). 
 
Compte tenu de la nécessité d’informer les moteurs de recherche et les internautes de la portée respective de leurs obligations et droits en matière de déréférencement, à la suite de la décision de la CJUE du 13 mai 2014 consacrant l’existence de ce droit, la formation restreinte décide de rendre sa décision publique. 
 
 
PAR CES MOTIFS 
 
 
La formation restreinte de la CNIL, après en avoir délibéré, décide : 
 
- De prononcer une sanction pécuniaire d’un montant de 100.000 euros à l’encontre de la société X ;
 
- De rendre publique sa délibération. 
 
Le Président 
 
 
Jean-François CARREZ 
 
 
 
Cette décision peut faire l’objet d’un recours devant le Conseil d’Etat dans un délai de deux mois à compter de sa notification.
travail de l'article 29. A ce titre,  les BCR  responsable de traitement  du groupe ArcelorMittal (dont le  siège social mondial est situé 24-26, boulevard des Avranches, L-2930,  Luxembourg) sont réputées apporter un niveau de protection suffisant aux  données personnelles transférées au sein du groupe ArcelorMittal. Par conséquent, les organismes mentionnés à l'article 1er  ci-dessous, qui souhaiteront se référer à la présente autorisation  unique n° BCR-028 et adresseront à cette fin à la commission un  engagement de conformité pour leurs transferts qui répondent strictement  aux conditions définies dans la présente décision d'autorisation unique  seront autorisés à mettre en œuvre ces transferts. Tout transfert ne peut être autorisé que dans la mesure où : i) lorsque cela est requis, la formalité relative au traitement  auquel ce transfert se rattache a été dûment accomplie auprès de la  Commission nationale de l'informatique et des libertés ; et ii) le transfert est réalisé dans le strict respect du cadre défini par ladite formalité. Par ailleurs, tout transfert de données à caractère personnel qui  excéderait le cadre ou les exigences définis par la présente  autorisation unique doit faire l'objet d'une décision d'autorisation  spécifique.
Article 1
Sur les responsables de traitement/champ d'application. Peuvent seules adresser un engagement de conformité à la présente  autorisation unique les entités du groupe ArcelorMittal, agissant en  qualité de responsable de traitement, étant juridiquement liées par les  BCR  responsable de traitement  du groupe ArcelorMittal et ayant mis  en œuvre les engagements pris au titre des BCR.
 
Article 2
Sur les finalités des transferts. Conformément au champ matériel et à la description des transferts  couverts par les BCR  responsable de traitement  du groupe  ArcelorMittal et à leurs annexes, sont autorisés les seuls transferts de  données à caractère personnel ayant pour finalités : Finalités relatives aux transferts des données personnelles des salariés :
- la gestion des ressources humaines, incluant candidatures internes  (mobilité), formation (en ligne et en séance), compétences et  savoir-faire ; - la gestion des ressources informatiques incluant l'annuaire  informatique (email, intranet et autres outils collaboratifs), et  mesures de sécurité concernant la gestion des accès et la protection des  ressources et des applications.
Finalités relatives aux transferts des données personnelles des clients :
- la gestion des clients.
Finalités relatives aux transferts des données personnelles des fournisseurs et prestataires :
- la gestion des fournisseurs et des prestataires.
Finalités relatives aux transferts des données personnelles des mandataires sociaux, représentants et actionnaires :
- la gestion des filiales et des actionnaires.
 
Article 3
Sur les catégories de données personnelles transférées. Conformément au champ matériel et à la description des transferts  couverts par les BCR  responsable de traitement  du groupe  ArcelorMittal et à leurs annexes, peuvent être transférées, dans le  cadre des finalités décrites ci-dessus, les catégories de données à  caractère personnel suivantes : Pour les données relatives aux salariés :
- état civil/identité/données d'identification ; - vie professionnelle ; - données de connexion.
Pour les données relatives aux clients :
- état civil/identité/données d'identification ; - vie professionnelle ; - données de connexion.
Pour les données relatives aux fournisseurs et prestataires :
- état civil/identité/données d'identification ; - vie professionnelle ; - données de connexion.
Pour les données relatives aux mandataires sociaux, représentants et actionnaires :
- état civil/identité/données d'identification ; - vie professionnelle.
 
Article 4
Sur les catégories de personnes concernées par les transferts. Conformément au champ matériel et à la description des transferts  couverts par les BCR  responsable de traitement  du groupe  ArcelorMittal et à leurs annexes, peuvent être transférées, dans le  cadre des finalités décrites ci-dessus, les données à caractère  personnel relatives aux catégories de personnes suivantes :
- salariés ; - clients (actuels ou potentiels) ; - fournisseurs et prestataires (actuels ou potentiels) ; - mandataires sociaux et représentants des filiales, actionnaires.
 
Article 5
Sur les destinataires habilités à accéder aux données transférées. Peuvent seules être habilitées à accéder aux données les entités du  groupe ArcelorMittal juridiquement liées aux BCR  responsable de  traitement  du groupe ArcelorMittal et ayant mis en œuvre les  engagements pris au titre de ces BCR, dont la liste à jour a été fournie  à la Commission nationale de l'informatique et des libertés, et ce  conformément aux BCR  responsable de traitement  du groupe  ArcelorMittal et à leurs annexes.
 
Article 6
Sur les informations relatives à chaque transfert. Les responsables de traitement doivent tenir à disposition des  services de la Commission nationale de l'informatique et des libertés  une liste (voir modèle proposé en annexe 1 de la présente délibération)  détaillée et à jour des transferts effectués sur la base des BCR   responsable de traitement  du groupe ArcelorMittal, précisant, pour  chaque transfert, les informations suivantes :
- la finalité générale du transfert ; - la ou les catégories de données à caractère personnel transférées ; - la ou les catégories de personnes concernées par le transfert ; - les informations relatives à chaque destinataire des données : - raison sociale ; - nom du groupe auquel le destinataire appartient et ayant adopté des BCR  responsable de traitement  ; - pays d'établissement ; - catégorie de destinataire (ex. : maison mère, filiale) ; et - nature du traitement opéré par ce dernier.
Article 7
  Sur les droits d'accès, de rectification et d'opposition des personnes. Les droits d'accès, de rectification et d'opposition des personnes  concernées définis au chapitre V de la loi du 6 janvier 1978 modifiée  s'exercent auprès du ou des services que les responsables de traitement  auront désignés.
Article 8
Sur l'information des personnes. Les responsables de traitement doivent avoir clairement informé les  personnes concernées de l'existence de transferts de données vers des  pays tiers et des modalités d'exercice de leurs droits d'accès, de  rectification et d'opposition, dans les conditions prévues par les  dispositions des articles 90 et 91 du décret du 20 octobre 2005 modifié  (notamment la finalité du transfert, le pays d'établissement du  destinataire des données).
Article 9
  La présente délibération sera publiée au Journal officiel de la République française.
ANNEXE 1 MODÈLE DE DOCUMENTATION SUR LES TRANSFERTS DE DONNÉES À CARACTÈRE PERSONNEL ENCADRÉS PAR DES BCR  RESPONSABLE DE TRAITEMENT 
TRANSFERT N° 1
MODIFICATIONS (préciser la date et l'objet)
Date de mise en œuvre
 
 
Finalité générale du transfert
 
 
Catégories de personnes concernées
 
 
Nature des données personnelles transférées
 
 
Destinataire 1
Raison sociale
 
 
Pays d'établissement
 
 
Type de destinataire (ex. : maison mère, filiale)
 
 
Nature du traitement opéré par le destinataire (ex. : lecture seule, saisie)
 
 
Destinataire 2
Raison sociale
 
 
Pays d'établissement
 
 
Type de destinataire (ex. : maison mère, filiale)
 
 
Nature du traitement opéré par le destinataire (ex. : lecture seule, saisie)
 
 
Pour la présidente : 
La vice-présidente déléguée, 
M.-F. Mazars
Sur la proposition de Mme Marie-Hélène MITJAVILE, commissaire, et  après avoir entendu les observations de M. Jean-Alexandre SILVY,  commissaire du Gouvernement, Formule les observations suivantes : En vertu de l'article 68 de la loi 6 janvier 1978 modifiée, les  transferts de données à caractère personnel à destination de pays qui ne  sont membres ni de l'Union européenne, ni de l'Espace économique  européen et qui par conséquent n'ont pas transposé dans leur législation  les dispositions de la directive n° 95/46/CE du 24 octobre 1995,  relative à la protection des personnes physiques à l'égard du traitement  des données à caractère personnel et à la libre circulation de ces  données, sont interdits. Néanmoins, il peut être fait exception à cette interdiction par  application de l'article 69 de la loi précitée, notamment par décision  de la Commission nationale de l'informatique et des libertés lorsqu'un  niveau de protection suffisant est apporté aux données transférées par  l'intermédiaire de règles internes (règles contraignantes d'entreprise  ou  binding corporate rules  (BCR) constituant un code de conduite  interne s'imposant à toutes les entités d'un groupe). Au terme d'une procédure de coopération européenne, la Commission  nationale de l'informatique et des libertés et les autorités de  protection des données compétentes ont reconnu la conformité de ces BCR   responsable de traitement  et BCR  sous-traitant  aux exigences  posées par les documents de référence
adoptés par le Groupe de travail  de l'article 29. A ce titre, les BCR  responsable de traitement  et  les BCR  sous-traitant  du groupe Capgemini (dont le siège social  mondial est situé 11, rue de Tilsitt, 75017 Paris, France) sont réputées  apporter un niveau de protection suffisant aux données personnelles  transférées au sein du groupe Capgemini. Par conséquent, les organismes mentionnés à l'article 1er  ci-dessous, qui souhaiteront se référer à la présente autorisation  unique n° BCR-027 et adresseront à cette fin à la commission un  engagement de conformité pour leurs transferts qui répondent strictement  aux conditions définies dans la présente décision d'autorisation unique  seront autorisés à mettre en œuvre ces transferts. Tout transfert ne peut être autorisé que dans la mesure où : (i) lorsque cela est requis, la formalité relative au traitement  auquel ce transfert se rattache, a été dûment accomplie auprès de la  Commission nationale de l'informatique et des libertés ; et (ii) le transfert est réalisé dans le strict respect du cadre défini par ladite formalité. Par ailleurs, tout transfert de données à caractère personnel qui  excéderait le cadre ou les exigences définis par la présente  autorisation unique doit faire l'objet d'une décision d'autorisation  spécifique.