AgentPublic/cnil huggingface dataset:
- De manière générale, elle soutient que l'interprétation du rapporteur quant à la notion de moyen de traitement serait excessive. Selon elle, la directive 95/46/CE ne couvre que les responsables de traitement non-européens dont les activités sont réellement centrées sur le territoire d'un Etat membre. A ce titre, elle soutient qu'elle n'a pas vocation à s'appliquer à des traitements effectués sur les ordinateurs et terminaux mobiles des utilisateurs par le biais des cookies ou de dispositifs similaires. 
A cet égard, la formation restreinte relève que la notion de moyen de traitement doit être interprétée à la lumière du considérant 18 de la directive 95/46/CE, qui précise l'intention du législateur communautaire quant à l'insertion de cette notion dans le texte : considérant que l'établissement, dans un pays tiers, du responsable du traitement de données ne doit pas faire obstacle à la protection des personnes prévue par la présente directive; que, dans ce cas, il convient de soumettre les traitements de données effectués à la loi de l'État membre dans lequel des moyens utilisés pour le traitement de données en cause sont localisés et de prendre des garanties pour que les droits et obligations prévus par la présente directive soient effectivement respectés (...).
Le législateur communautaire visait donc à éviter le contournement de la protection accordée aux résidents européens du fait de l'établissement du responsable de traitement dans un pays non-membre de l'Union Européenne. A cet effet, il a fait le choix d'une législation technologiquement neutre, considérant que le champ de cette protection ne doit pas (...) dépendre des techniques utilisées, sauf à créer de graves risques de détournement (considérant 27). 
C'est au regard de l'ensemble de ces dispositions que la formation restreinte doit apprécier les faits de l'espèce. 
- En l'espèce, la société conteste spécifiquement que les cookies, pris isolément, puissent être considérés comme des moyens de traitement. Selon elle, un cookie ne serait qu'un fichier texte, un type de marqueur qui serait lu, et qui ne correspondrait pas à un moyen de traitement proprement dit. Il ne pourrait donc procéder à aucun traitement de données sur l'ordinateur de l'utilisateur ni exercer un contrôle sur lui. 
Il est certain qu'un fichier texte ne constitue pas, en lui-même, un traitement. Cependant, la formation restreinte relève que tant la lecture que l'écriture d'informations sur le navigateur installé sur le terminal de l'utilisateur s'effectue par l'intermédiaire de cookies, dans le but de collecter des informations dont la société sera l'unique destinataire.
Or, l'article 2 de la loi n°78-17 du 6 janvier 1978 modifiée attribue la qualification de traitement notamment à toute opération de collecte, enregistrement, consultation, extraction, communication par transmission, diffusion ou toute autre forme de mise à disposition. Ainsi, l'accès aux informations relatives à l'utilisateur par le vecteur du cookie et leur lecture constituent bien des traitements au sens de cet article. 
En outre, l'article 32-II de la loi n°78-17 du 6 janvier 1978 modifiée fait explicitement peser une obligation d'information préalable sur le responsable de toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans son équipement terminal de communications électroniques, ou à inscrire des informations dans cet équipement , celui-ci étant expressément qualifié de responsable de traitement par le texte. Par suite, tout moyen permettant de procéder à de telles actions doit être qualifié de moyen de traitement au sens de la loi n°78-17 du 6 janvier 1978 modifiée.
Cette disposition traduit le souhait du législateur européen exprimé à l'article 5, paragraphe 3 de la directive 2002/58/CE modifié par l'article 2 de la directive 2009/136/CE qui dispose que le stockage d'informations ou l'obtention de l'accès à des informations déjà stockées dans l'équipement terminal d'un abonné ou d'un utilisateur n'est permis qu'à condition que l'abonné ou l'utilisateur ait donné son accord, après avoir reçu, dans le respect de la directive 95/46/CE, une information claire et complète, entre autres sur les finalités du traitement . Le champ d'application de la directive 95/46/CE étant limité aux traitements de données à caractère personnel, à l'exclusion de tout autre traitement, la référence à ce texte ainsi qu'aux finalités des traitements opérés conduit à interpréter cette disposition comme qualifiant toute activité de stockage ou de lecture d'informations par l'intermédiaire de cookies de traitement de données à caractère personnel. 
Par conséquent, l'ensemble des équipements et logiciels participant à ces actions d'écriture ou de lecture - y compris les cookies et les outils similaires - doivent être considérés comme des moyens de traitement. 
- La société soutient que la référence au terme de moyens de traitement dans les textes applicables implique par ailleurs l'exercice d'un degré de contrôle substantiel, c'est-à-dire la capacité de diriger l'utilisation des moyens de traitement pour son propre compte.
Or, selon elle, ce sont les utilisateurs eux-mêmes qui ont recours à leurs moyens de traitement, c'est-à-dire leurs terminaux, pour accéder aux services en ligne qu'elle fournit, dans la mesure où ils contrôlent les composants de leurs terminaux et la connexion/déconnexion à Internet, de même qu'ils décident de la composante du service qu'ils vont utiliser et de la finalité de cette utilisation. La formation restreinte considère que cet argument est infondé. 
En effet, il est certain que la société exerce un degré de contrôle suffisant, voire substantiel, sur les moyens de traitement évoqués plus haut, quel que soit le service qu'elle fournit aux utilisateurs concernés.
Si ceux-ci peuvent effectivement choisir d'éteindre leur terminal ou suspendre leur connexion Internet, la société a en revanche la totale maîtrise des dispositifs de stockage ou d'accès à des informations qui, tels que les cookies, sont déposés dans le terminal de l'utilisateur. Le dépôt de ces dispositifs procède bien de la décision de la seule société, qui détermine également la finalité de la collecte et la nature des données qui lui remonteront par ce vecteur. Elle exerce donc un degré de contrôle substantiel et suffisant sur ces moyens de traitement. - Enfin, la société reproche à la Commission de chercher à étendre l'application de la directive 95/46/CE et de la loi n°78-17 du 6 janvier 1978 modifiée en s'appuyant sur le critère de la localisation des utilisateurs qui, s'il est prévu par la proposition de règlement du Parlement européen et du Conseil du 25 janvier 2012, n'est pour l'heure pas applicable en droit français. 
Ce reproche est également infondé. En l'espèce, la localisation des utilisateurs ne constitue pas un critère d'application de la loi mais un élément de fait permettant de déterminer la localisation des moyens de traitement, l'une et l'autre étant, eu égard aux technologies utilisées, indissociables. La société X a donc recours à des moyens de traitement sur le territoire français.
- Il résulte de ce qui précède que la société est soumise à l'application de la loi française et par conséquent à la compétence de la CNIL, que ce soit au titre des moyens qu'elle met en œuvre en France pour traiter les données des utilisateurs ou de son établissement sur le territoire national. 
2. Sur la qualification préalable des données soumises aux règles de confidentialité, de données à caractère personnel au sens de la loi n°78-17 du 6 janvier 1978 modifiée 
La société conteste que l'ensemble des données des utilisateurs qu'elle traite sous l'égide des règles de confidentialité litigieuses constituent invariablement des données à caractère personnel au sens de l'article 2 de la loi n°78-17 du 6 janvier 1978 modifiée, qui dispose que constitue une donnée à caractère personnel toute information relative à une personne physique identifiée ou qui peut être identifiée, directement ou indirectement, par référence à un numéro d'identification ou à un ou plusieurs éléments qui lui sont propres. Pour déterminer si une personne est identifiable, il convient de considérer l'ensemble des moyens en vue de permettre son identification dont dispose ou auxquels peut avoir accès le responsable du traitement ou toute autre personne.
A son sens, seules les données qu'elle collecte auprès des détenteurs de comptes [...] seraient des données à caractère personnel au sens de la loi. Les autres données qu'elle collecte et traite pour les besoins de son service en ligne ne relèveraient pas de cette qualification et n'entreraient donc pas dans le champ d'application de la loi. 
Elle conteste spécifiquement que les adresses IP constituent des données à caractère personnel, y compris en étant associées aux données issues des cookies [...], dès lors qu'elle ne disposerait d'aucun moyen raisonnable lui permettant de relier ces éléments à une personne identifiée ou identifiable. 
Il appartient donc à la formation restreinte de se prononcer sur cette qualification qui conditionne l'application de la loi n°78-17 du 6 janvier 1978 modifiée aux faits de l'espèce. 
A cet effet, il convient de tenir compte de la nature et des caractéristiques des trois catégories d'utilisateurs ciblés par la société. 
a) Catégories de personnes concernées
- Une première catégorie de données correspond aux utilisateurs dits authentifiés, c'est-à-dire aux personnes qui, pour avoir accès à un service dont le fonctionnement repose sur la création d'un compte utilisateur (par exemple des comptes [...]), se sont préalablement authentifiées au travers d'une interface ad hoc (le compte [...]).
Les données contenues dans ce compte sont notamment les suivantes : nom, prénom, données de vérification du mot de passe, pseudonyme, date de naissance, sexe, pays, éventuellement adresse électronique alternative, numéro de téléphone, photo du profil public de la personne, carte de crédit, etc. La société a également accès à la liste des applications installées sur un terminal [...], la boite mail et l'ensemble des messages associés, les photos (service [...]) et les documents (service [...]) détenus par l'utilisateur, les données de localisation du terminal mobile, les paramètres du terminal et du navigateur, les identifiants uniques comme le numéro IMEI, les visites de sites tiers, etc. 
Les données générées par l'utilisation des services de X par un utilisateur authentifié sont accessibles à l'ensemble de ceux-ci, y compris ceux ne requérant pas d'authentification préalable.
- Une seconde catégorie de données correspond aux personnes qui accèdent à un service offert par la société sans authentification préalable à travers un compte [...]. Ces utilisateurs dits non authentifiés relèvent de deux sous-catégories : 
- Les utilisateurs actifs non authentifiés, qui ont recours à un service de la société sans que l'accès à celui-ci soit conditionné par une authentification préalable. Au premier rang de ces services figurent [...] ou [...].
Les données issues de l'utilisation de ces services varient selon la nature de ceux-ci. Les données collectées sur les utilisateurs du moteur de recherche sont les termes de la recherche, l'adresse IP de l'utilisateur, ses préférences (option linguistique, etc.), les informations issues de deux cookies installés par le service (dénommés [...] et [...]), qui contiennent eux-mêmes de nombreuses données, dont des identifiants uniques. Sont également collectées les données dérivées de fonctionnalités spécifiques du service, qui permettent d'apprécier les conditions de leur utilisation à distance (ex : la vitesse de frappe de l'utilisateur via la fonctionnalité [...]). Des données de natures différentes seront issues des services [...] et [...] (localisation, etc.). 
A partir de l'adresse IP et des identifiants présents dans les cookies installés sur le terminal de l'utilisateur, la société reconnaîtra celui-ci automatiquement quand il utilisera d'autres services de X ultérieurement. Elle associera ainsi les données issues de ces services à celles issues de services utilisés précédemment.
Or, il est incontestable que les facultés d'identification des personnes s'accroissent au fur et à mesure que s'intensifie le croisement de leurs données, notamment les termes de leurs requêtes dans le service [...] - comme l'a démontré l'affaire dite AOL Stalker de 2006. Il suffira notamment que l'utilisateur laisse apparaître son identité une seule fois lors de l'utilisation d'un des services librement accessibles de X (par exemple dans l'hypothèse de [...] ou [...], c'est-à-dire la recherche de son propre nom dans le moteur de recherche) pour que celle-ci soit définitivement associée aux données que sa navigation a précédemment générées. 
- Les utilisateurs dits passifs, c'est-à-dire ceux d'entre eux qui n'ont pas recours par eux-mêmes à un service de X, mais dont la société collecte néanmoins les données de manière indirecte. Lorsque ces utilisateurs naviguent sur des sites sur lesquels la régie publicitaire de X est présente, la société va collecter leurs adresses IP, les sites sur lesquels ils se trouvent, ainsi que les identifiants uniques présents dans des cookies spécifiques alors dénommés DoucleClick. 
Tel est le cas quand ces utilisateurs se connectent à des sites Internet tiers faisant appel aux services de X pour mesurer leur fréquentation ([...]), proposer de la publicité ciblée à leurs visiteurs en fonction de leurs profils ([...]), fournir un plan de situation ([...]), etc.
Cette collecte a également lieu quand une personne adresse un courrier électronique à un utilisateur du service [...] : quand bien même l'expéditeur ne serait pas un utilisateur de X, le contenu de son message sera scanné par la société, qui affichera de la publicité ciblée aux côtés des messages qu'il recevra de son correspondant. 
De même, X propose aux webmasters d'inclure un bouton +1 sur leurs sites pour permettre aux utilisateurs de recommander des articles ou des publications sur le réseau social [...] sur lequel ils ont ouvert un compte. Lorsqu'un utilisateur se rend sur un de ces sites, la société en est informée du simple fait de l'affichage du bouton, qui conduit aussitôt au dépôt et à la lecture de cookies, sans même qu'il soit besoin pour l'utilisateur de cliquer. Cette information s'opère via les cookies [...], [...] et [...] pour les utilisateurs authentifiés, les cookies [...] et [...] pour les utilisateurs actifs non-authentifiés, et le seul cookie [...] pour les utilisateurs passifs. Les utilisateurs, quel que soit leur statut, seront ré-identifiés dès qu'ils visiteront ultérieurement le même site ou tout autre site sur lequel figure également le bouton +1.
Ainsi, les données relatives aux visiteurs de sites tiers sur lesquels la régie publicitaire de X est présente (et que celle-ci collectera) sont l'adresse IP de l'utilisateur, le nom du site ainsi que l'identifiant unique présent dans le cookie DoubleClick, qui sert à améliorer la pertinence de la publicité affichée. Disposant de cet identifiant cookie et de son adresse IP, la société pourra reconnaître l'utilisateur à l'occasion de visites ultérieures de sites également partenaires de DoubleClick, afin de lui adresser des publicités personnalisées, notamment en fonction de l'analyse de son comportement de navigation. 
- En outre, un utilisateur pourra posséder alternativement, voire cumuler les trois qualifications ci-dessus. Par exemple, les données relatives à une personne qui se sera authentifiée au début d'une session de navigation (ex : pour se connecter à son compte [...]) seront associées à celles issues de l'utilisation de services de X ne requérant pas d'authentification préalable, cette association étant rendue possible par l'inscription dans le navigateur de l'internaute du cookie [...] qui est commun aux services authentifiés ou non-authentifiés.
En accroissant sa connaissance sur l'utilisateur, la société peut lui proposer des services supplémentaires. A titre d'exemple, un utilisateur authentifié dont l'historique Web est activé pourra sélectionner des prédictions de requêtes basées sur les recherches qu'il aura précédemment effectuées dans les paramètres de la fonctionnalité [...]. En contrepartie, la société valorisera l'information ainsi affinée dans son modèle publicitaire. 
b) Sur l'application de la notion de données à caractère personnel au cas d'espèce
Au vu de ce qui précède, la formation restreinte considère que la société collecte bien des données à caractère personnel au sens de l'article 2 de la loi de 1978.
En premier lieu, elle relève que la société ne conteste pas traiter, dans de nombreux cas, des données directement identifiantes. Ainsi, les données figurant dans les comptes individuels ouverts en vue de la fourniture de services à des utilisateurs authentifiés constituent, sans discussion possible, des données à caractère personnel. Le lien existant entre ces informations d'identification de l'utilisateur et les cookies associés à son adresse IP a pour effet d'attraire l'ensemble des données correspondantes dans la sphère des données directement identifiantes.
En second lieu, il est exact que les données collectées à l'occasion de la navigation d'utilisateurs non authentifiés (actifs ou passifs) ne peuvent être automatiquement considérées comme directement identifiantes dès lors que, prises isolément, elles ne se rapportent qu'au seul terminal (fixe ou portable) ou au seul navigateur de l'utilisateur, non identifié. 
Pour autant, il importe de rappeler que les législateurs européen et français ont consacré une conception large de la notion de donnée à caractère personnel, qui peut être directement ou indirectement identifiante. Ainsi, la possibilité d'identifier une personne déterminée à partir d'identifiants spécifiques ou d'un ou plusieurs éléments qui lui sont propres conduit à regarder ceux-ci comme des données à caractère personnel. 
La formation restreinte relève, à cet égard, que le seul et unique objectif poursuivi par la société consiste à recueillir un maximum d'éléments sur des personnes singularisées afin d'optimiser la valorisation de leurs profils sur le plan publicitaire. Son modèle économique ne requiert donc pas de connaître les nom, prénom, adresse ou autres éléments directement identifiants sur les personnes, qui ne lui sont pas nécessaires pour les reconnaître lors de chaque nouvel usage qu'elles feront de ses services.
Cependant, les éléments qu'elle collecte à cette fin, qui peuvent être combinés entre eux comme la société l'a prévu en adoptant ses nouvelles règles de confidentialité, lui permettent de cerner avec une précision extrême le comportement d'une machine et, derrière celle-ci, de son utilisateur, à laquelle elle est capable in fine d'affecter les caractéristiques de son activité quotidienne, ses interactions avec autrui, ses centres d'intérêt, des éléments liés à sa personnalité, ses choix de vie, etc. 
En d'autres termes, l'accumulation de données qu'elle détient sur une seule et même personne lui permet de la singulariser à partir d'un ou de plusieurs éléments qui lui sont propres. Ces données doivent, en tant que telles, être considérées comme identifiantes et non comme anonymes. 
En tout état de cause, des identifiants uniques comme l'adresse IP, bien qu'ils n'aient pas de lien direct avec l'identité proprement dite de la personne, permettent à la société d'attribuer à celle-ci l'ensemble des données issues de son utilisation de ses services, qu'elle ait été ou non authentifiée, dans des proportions telles qu'il est impossible de ne pas considérer que celles-ci ne sont pas identifiantes, à tout le moins indirectement.
La qualification de données à caractère personnel peut ainsi s'appliquer non seulement à l'adresse IP et aux données collectées par le vecteur des cookies, mais également à tous les types d'identifiants uniques, tels que celui du terminal ou d'un composant du terminal de l'utilisateur, le résultat du calcul d'empreinte dans le cas du fingerprinting , ou encore l'identifiant généré par un logiciel ou un système d'exploitation. 
Cette qualification s'impose d'autant plus que, comme indiqué précédemment, il suffit que l'utilisateur s'authentifie une seule fois auprès d'un service de la société (par exemple [...]) pour que l'ensemble de sa navigation subséquente soit couplée à son profil directement identifiant. 
La formation restreinte considère par conséquent que la société procède, sans distinction, au traitement de des données à caractère personnel au sens de l'article 2 de la loi n°78-17 du 6 janvier 1978 modifiée, que ce soit sur les utilisateurs authentifiés ou non-authentifiés. 
3. Sur le manquement à l'obligation d'informer les personnes
L'article 32-I de la loi du 6 janvier 1978 modifiée prévoit que La personne auprès de laquelle sont recueillies des données à caractère personnel la concernant est informée, sauf si elle l'a été au préalable, par le responsable du traitement ou son représentant : 
1° De l'identité du responsable du traitement et, le cas échéant, de celle de son représentant ;
2° De la finalité poursuivie par le traitement auquel les données sont destinées ; 
3° Du caractère obligatoire ou facultatif des réponses ; 
4° Des conséquences éventuelles, à son égard, d'un défaut de réponse ; 
5° Des destinataires ou catégories de destinataires des données ; 
6° Des droits qu'elle tient des dispositions de la section 2 du présent chapitre ; 
7° Le cas échéant, des transferts de données à caractère personnel envisagés à destination d'un Etat non membre de la Communauté européenne (...). 
Sur le fondement de cette disposition, la Présidente de la CNIL a mis la société en demeure de procéder à l'information des utilisateurs, quel que soit leur statut, en application des dispositions de l'article 32, en particulier s'agissant des finalités poursuivies par le responsable des traitements mis en œuvre. 
- La société se défend de ne pas respecter la loi sur ce point. 
Elle affirme que les règles de confidentialité et supports d'information qu'elle a mis en ligne sont suffisamment complets au sens des textes européens dès lors qu'ils permettent aux utilisateurs de connaître, outre l'identité du responsable de traitement, la finalité, les destinataires des données et l'existence d'un droit d'accès et de rectification. En tout état de cause, elle reproche à la CNIL de ne lui fournir aucune indication concrète quant aux modifications à apporter pour que la société puisse répondre à ses attentes.
Elle soutient que la simplification de l'information opérée par la mise en ligne de sa politique de confidentialité a pour objectif d'informer les utilisateurs par un document unique, lui permettant de s'adresser à une palette d'utilisateurs particulièrement large. 
Elle soutient enfin que la fourniture d'informations plus détaillées l'aurait conduite à donner un niveau de précision technique peu compréhensible pour la majorité des utilisateurs, par ailleurs non requis par le G29 et la CNIL, et qu'il serait contre-productif d'exiger le maintien de règles de confidentialité distinctes pour chacun des produits de la société, à moins que ceci ne soit justifié par une réglementation spécifique (ex : [...]). 
Sur ce point, la formation restreinte considère ce qui suit.
- L'obligation d'information des personnes prévues par l'article 32 de la loi n°78-17 du 6 janvier 1978 modifiée consiste à mettre celles-ci en mesure de comprendre la manière dont leurs données seront traitées, et ce de manière effective et complète au regard des circonstances de la collecte.