AgentPublic/cnil huggingface dataset:
La Commission relève qu’une anonymisation doit être effectuée avant portage aux infocentres . Elle rappelle que le processus d’anonymisation devra empêcher à toutes les parties, d'isoler un individu dans un ensemble de données, de relier entre eux deux enregistrements dans un ensemble de données (ou dans deux ensembles de données séparés) et d’en déduire des informations.
Compte tenu des mesures existantes ou prévues, et des améliorations envisagées, les risques résiduels sont jugés acceptables au regard des enjeux du traitement. La Commission encourage la mise en place du chiffrement des données stockées en base et des sauvegardes, ainsi que le recours à la pseudonymisation.
Sous réserve des précédentes observations, la Commission estime que les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 70-13 de la loi du 6 janvier 1978 modifiée.
Elle rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques. A cet égard, elle rappelle qu’il conviendra d’apporter une attention spécifique à la réévaluation des mesures de sécurité dans le cadre de la mise à jour impérative de l’analyse d’impact.
Pour la Présidente
Le Vice-Président délégué
 
 
Marie-France Mazars
La Présidente de la Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;
Vu le code pénal ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 45 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;
Vu la décision n° 2018-118C du 30 mars 2018 de la Présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification auprès de la société X ;
Vu le procès-verbal de contrôle n° 2018-118/1 du 29 mai 2018 ;
Vu les autres pièces du dossier ;
Constate les faits suivants
La société X (ci-après la société ), sise […] est une société par actions simplifiée spécialisée dans la programmation informatique et notamment l’édition et la vente d’outils informatiques. Elle emploie environ 27 salariés et a réalisé en 2017 un chiffre d’affaires d’environ 4,2 millions d’euros pour un résultat net de 418 mille euros.
L’activité de la société X est d’afficher des publicités pour le compte d’annonceurs, sur les ordiphones de personnes dont le profil est déterminé à partir de leurs données de géolocalisation. La société a également pour activité de mesurer les visites des mobinautes[1] dans les points de vente de ses clients.
La société a effectué, le 9 mai 2018, auprès de la Commission nationale de l’informatique et des libertés (ci-après CNIL ou la Commission ) une déclaration n° 1943129 relative à un traitement dont la finalité est de créer des segments d'audience que nous adressons avec de la publicité mobile. […] sur la base des segments d’élaborer des études à destination de clients de divers industries (retail, immobilier, etc.) en vue, en particulier, de les aider à avoir une meilleure compréhension du marché et de ses tendances et de les aider à analyser la performance de leurs magasins .
La société a désigné, le 12 avril 2018, une déléguée à la protection des données .
En application de la décision n° 2018-118C du 30 mars 2018 de la Présidente de la Commission, une délégation de la CNIL a procédé le 29 mai 2018 à une mission de contrôle sur place auprès de la société X. La mission a notamment eu pour objet de vérifier la conformité à la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après loi Informatique et Libertés ou loi du 6 janvier 1978 modifiée ) et au Règlement général sur la protection des données n° 2016/679 du 27 avril 2016 (ci-après RGPD ou Règlement sur la protection des données ), de l’ensemble des traitements de données à caractère personnel mis en œuvre par la société.
L’objectif de la société X est d’établir des profils de mobinautes afin de leur adresser de la publicité ciblée.
Dans ce cadre, la société a conclu des contrats avec 15 sociétés partenaires (essentiellement des éditeurs de presse tels que […]) qui éditent environ 25 applications mobiles. Elle a également déterminé des points d’intérêts (ci-après POIs ) qui correspondent à des coordonnées géographiques de lieux permettant de révéler un profil de consommateur, tels que les points de vente physiques que celui-ci visite régulièrement ou a visité ponctuellement. Sont ainsi, par exemple, ciblés les mobinautes s’étant rendus dans des magasins concurrents et ceux ayant visité le magasin d’un client au cours des 15 derniers jours. Par la suite, la société X réalise des campagnes marketing à travers l’achat d’espaces publicitaires pour le compte de clients annonceurs, sur la plateforme de la société […] de ventes aux enchères d’espaces publicitaires en temps réel.
Afin de réaliser ce service, la société a indiqué, lors du contrôle, avoir développé un logiciel SDK [2], intégré par ses partenaires dans leurs applications et qui permet de collecter les données de géolocalisation ainsi que l’identifiant publicitaire mobile, le nom et la version de l’application mobile et le système d’exploitation utilisé (ANDROID ou IOS). Les données collectées grâce au SDK sont ensuite croisées avec les POIs déterminés avec les clients annonceurs de la société X, ce qui permet de qualifier le profil de l’utilisateur pour le ciblage publicitaire souhaité. Ces données sont conservées par la société au sein de la base de données utilisant la solution […] , un service de stockage et d’hébergement de données en nuage proposé par la société […].
Lors du contrôle, la délégation a été informée que le SDK collecte les données de géolocalisation des personnes :
tous les 200 mètres pour les applications installées sur le système d’exploitation IOS ;
toutes les cinq minutes sur le système d’exploitation Android.
La délégation a constaté la présence dans la base de données de la société de 14 344 670 identifiants publicitaires distincts dont 5 529 383 identifiants sont associés à des données de géolocalisation. Chacun de ces identifiants publicitaires est directement lié à l’ordiphone d’une personne ayant téléchargé l’application d’un des éditeurs partenaires de la société.
Par ailleurs, la délégation a constaté, lors du téléchargement d’une application mobile – en l’espèce […] – intégrant le SDK de la société, que lorsque l’utilisateur d’un ordiphone valide l’autorisation système d’accès à ses données de géolocalisation pour le fonctionnement de l’application, ses données sont également transmises à la société X sans qu’il en soit spécifiquement informé et sans que son consentement ne soit recueilli pour cette transmission.
En outre, la délégation a été informée que toutes les données de géolocalisation des mobinautes sont collectées et conservées dans la base de données de la société, même lorsqu’ils sont situés en dehors des points d’intérêts géographiques déterminés.
Elle a également été informée et a constaté que les données de géolocalisation des personnes, collectées à partir des applications mobiles des partenaires, sont conservées pendant treize mois à compter de la date de la collecte.
Enfin, la délégation a constaté que le compte administrateur qui permet d’accéder à la base de données […] utilise un mot de passe de 16 caractères. Elle a également été informée que des tests de développements sont réalisés dans cette base.
À la suite de demandes formulées par la délégation, la société a apporté des éléments additionnels par courriel du 6 juin 2018, portant notamment sur l’intégration du SDK, la politique interne d’accès au système d’information, ainsi qu’une liste des traitements mis en œuvre par la société.
Sur la notion de responsable du traitement et de données à caractère personnel
Sur la qualité de responsable du traitement
Aux termes de l’article 4 (7) du Règlement sur la protection des données, le responsable de traitement est la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement […].
Au regard des constats effectués par la CNIL et des éléments communiqués postérieurement au contrôle, il apparaît que la société X détermine dans une large mesure les finalités et les moyens des traitements mis en œuvre dans le cadre de l’utilisation du SDK.
En effet, il ressort des pièces transmises à la délégation que la société traite pour son propre compte les données à caractère personnel collectées via le SDK pour vendre des services d’analyse ou de profilage auprès de ses clients annonceurs.
En outre, la délégation a été informée que les données des utilisateurs des différentes applications mobiles collectées sont enregistrées au sein de la même base de données, […], ce que la délégation a constaté.
Enfin, la société X a indiqué à la délégation se considérer comme responsable de traitement.
La société X doit, par conséquent, être regardée comme responsable du traitement mis en œuvre dans le cadre de l’utilisation du SDK.
Sur la collecte de données à caractère personnel
Aux termes de l’article 4 (1) et (2) du RGDP, constitue une donnée à caractère personnel toute information se rapportant à une personne physique identifiée ou identifiable (ci-après dénommée personne concernée); est réputée être une personne physique identifiable une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu'un nom, un numéro d'identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale..
Constitue en outre un traitement de données à caractère personnel toute opération ou tout ensemble d'opérations effectuées ou non à l'aide de procédés automatisés et appliquées à des données ou des ensembles de données à caractère personnel, telles que la collecte, l'enregistrement, l'organisation, la structuration, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, la limitation, l'effacement ou la destruction..
La délégation a constaté que la société X collecte, via le SDK installé au sein des applications mobiles, l’identifiant publicitaire de l’ordiphone associé à des données de géolocalisation de la personne ainsi qu’à des données techniques relatives à l’ordiphone.
L’identifiant publicitaire est un identifiant unique généré par le système d’exploitation de l’ordiphone permettant d’identifier le terminal de l’utilisateur de façon stable dans le temps. Par défaut, il est mis à disposition de l’ensemble des applications mobiles installées sur celui-ci et est également accessible aux différents SDK installés dans les applications mobiles.
Cet identifiant publicitaire est stocké de façon pérenne dans l’ordiphone de l’utilisateur et permet donc d’identifier l’utilisateur de façon indirecte. Dans le cadre du traitement réalisé par X, il a vocation à identifier l’utilisateur afin de lui associer un profil publicitaire constitué à partir de ses données de géolocalisation. Il permet ensuite d’identifier l’utilisateur lors de son utilisation ultérieure d’autres applications mobiles sur son téléphone afin de le cibler pour lui afficher des publicités spécifiquement choisies en fonction de ses habitudes de déplacement.
Il en résulte que la société traite des données à caractère personnel en application de l’article 4 du Règlement sur la protection des données.
Sur les manquements constatés au regard des dispositions de la loi du 6 janvier 1978
Un manquement à l’obligation de disposer d’une base légale pour la mise en œuvre du traitement
La délégation a été informée que la société procède à la collecte des données de géolocalisation des personnes à l’aide du SDK intégré dans les applications mobiles téléchargées par les mobinautes. Par la suite, les données de géolocalisation sont croisées avec les points d’intérêts afin de qualifier le profil des personnes et de procéder à des campagnes d’affichages de publicités sur leur ordiphone.
Or, une telle combinaison des données à caractère personnel des mobinautes, à des fins publicitaires, ne peut intervenir que si la société peut se prévaloir de l’une des conditions prévues à l’article 6 du Règlement général sur la protection des données qui dispose que : le traitement n'est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie :
a) la personne concernée a consenti au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques ;
b) le traitement est nécessaire à l'exécution d'un contrat auquel la personne concernée est partie ou à l'exécution de mesures précontractuelles prises à la demande de celle-ci ;
c) le traitement est nécessaire au respect d'une obligation légale à laquelle le responsable du traitement est soumis ;
d) le traitement est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d'une autre personne physique ;
e) le traitement est nécessaire à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement ;
f) le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent une protection des données à caractère personnel, notamment lorsque la personne concernée est un enfant. 
Lors du contrôle, la société a indiqué à la délégation que le traitement des données de géolocalisation aux fins de ciblage publicitaire est fondé sur le consentement des personnes concernées.
Par ailleurs, le registre des traitements de la société communiqué par courriel du 6 juin 2018 indique que la base du traitement pour cette finalité [diffusions de campagnes digitales ciblées sur mobiles] est le consentement. 
En vertu de l’article 4 (11) du Règlement général sur la protection des données, le consentement s’entend comme toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l'objet d'un traitement .
L’article 7 de ce même texte prévoit les conditions applicables au consentement :
1. Dans les cas où le traitement repose sur le consentement, le responsable du traitement est en mesure de démontrer que la personne concernée a donné son consentement au traitement de données à caractère personnel la concernant.
2. Si le consentement de la personne concernée est donné dans le cadre d'une déclaration écrite qui concerne également d'autres questions, la demande de consentement est présentée sous une forme qui la distingue clairement de ces autres questions, sous une forme compréhensible et aisément accessible, et formulée en des termes clairs et simples. Aucune partie de cette déclaration qui constitue une violation du présent règlement n'est contraignante.
3. La personne concernée a le droit de retirer son consentement à tout moment. Le retrait du consentement ne compromet pas la licéité du traitement fondé sur le consentement effectué avant ce retrait. La personne concernée en est informée avant de donner son consentement. Il est aussi simple de retirer que de donner son consentement.
4. Au moment de déterminer si le consentement est donné librement, il y a lieu de tenir le plus grand compte de la question de savoir, entre autres, si l'exécution d'un contrat, y compris la fourniture d'un service, est subordonnée.
Or, il ressort du contrôle et de l’analyse des pièces transmises à la Commission qu’aucun mécanisme n’est proposé aux utilisateurs ayant téléchargé les applications des partenaires de la société pour consentir valablement aux traitements réalisés par la société X.
En premier lieu, le consentement des personnes doit être informé.
Le G29 indique, dans ses lignes directrices du 10 avril 2018 sur le consentement au sens du Règlement 2016/679, que le responsable du traitement doit s’assurer que le consentement est fourni sur la base d’informations qui permettent aux personnes concernées d’identifier facilement qui est le responsable des données et de comprendre ce à quoi elles consentent. [Il] doit clairement décrire la finalité du traitement des données pour lequel le consentement est sollicité. 
Il est également précisé que pour que le consentement soit éclairé, il est nécessaire d’informer la personne concernée de certains éléments cruciaux pour opérer un choix. [..] Au moins les informations suivantes sont nécessaires afin d’obtenir un consentement valable :
(i) l’identité du responsable du traitement,
(ii) la finalité de chacune des opérations de traitement pour lesquelles le consentement est sollicité,
(iii) les (types de) données collectées et utilisées,
(iv) l’existence du droit de retirer son consentement,
(v) des informations concernant l’utilisation des données pour la prise de décision automatisée [..] et
(vi) des informations sur les risques éventuels liés à la transmission des données en raison de l’absence de décision d’adéquation et de garanties appropriées […]. 
En l’espèce, la délégation a constaté qu’au moment de l’installation des applications contrôlées, les personnes ne sont pas informées de la collecte de leurs données de géolocalisation via le SDK à des fins de profilage des utilisateurs et de ciblage publicitaire.
Lors du contrôle, la société a indiqué qu’elle procédait à la modification des contrats avec ses partenaires éditeurs d’applications mobiles pour y inclure une clause concernant leur responsabilité en matière de recueil du consentement. Elle a précisé que cette modification impliquait un accord avec la société X sur le texte concernant l’autorisation à la collecte des données de géolocalisation.
Il ressort des pièces du contrôle que l’avenant apporté aux contrats avec les partenaires éditeurs mentionne la possibilité, pour la société X, d’utiliser les données des utilisateurs.
La société a également indiqué qu’elle était en train de mettre en place une fenêtre pop-up qui permettrait d’afficher une information et de recueillir un consentement des utilisateurs préalablement à la collecte de leurs données de géolocalisation. Cette fenêtre serait déclenchée par le SDK, hébergée sur les serveurs de la société, et pourrait être forcée dans les applications mobiles intégrant le SDK.
Les contrats ou avenants communiqués par la société à la délégation mentionnent une simple obligation, mise à la charge de l’éditeur d’application mobile, de fournir aux Utilisateurs Uniques concernés par les opérations de traitement l’information relative aux traitements de données réalisés au titre du Contrat selon une formulation et un format à convenir avec X aux fins d’obtenir le consentement de chaque Utilisateur Unique à la collecte et au traitement de leurs données à caractère personnel dans le cadre du Contrat .
Cette formulation est insatisfaisante en ce qu’elle ne fixe pas les exigences concrètes et précises de la forme dans laquelle le consentement de l’utilisateur devra être recueilli, laissant le soin à des négociations ultérieures de fixer ces modalités. Faute de dispositions claires sur le format, la formulation du recueil du consentement et l’information à délivrer aux personnes concernées, la société X n’est, à ce stade, pas en mesure de permettre à l’éditeur de l’application de satisfaire aux obligations qu’elle met à sa charge au titre de la protection des données, ni, à fortiori, d’en garantir le respect, ce qu’il lui appartiendra de faire.
Si la fenêtre contextuelle communiquée par la société à la Commission le 5 octobre 2018 offre à l’utilisateur une meilleure information quant au traitement des données à caractère personnel de l’utilisateur, rien ne met en mesure la société X de s’assurer de son intégration effective au sein des applications de ses éditeurs partenaires.
En outre, la société a précisé imposer à ses partenaires uniquement une référence à sa société dans la politique de confidentialité des applications. Or, cette seule mention ne permet pas d’assurer une information suffisante des personnes dès lors que la finalité de la collecte de leurs données de géolocalisation – la publicité ciblée – les droits dont elles disposent ainsi que la base légale de ce traitement ne sont pas portés directement à leur connaissance.
Il apparaît, enfin, que l’information dans la politique de confidentialité des applications mobiles est tardive dès lors qu’elle n’est accessible aux personnes qu’après l’installation de l’application et du SDK, alors que leur identifiant publicitaire et leurs données de localisation sont déjà collectés par la société via le SDK.
Dès lors, les personnes ayant téléchargé l’application mobile avant la mise en place du SDK ne sont pas directement informées de l’intégration de celui-ci à l’application et de la finalité poursuivie par ce traitement.
Par conséquent, les personnes ne sont pas dûment informées de la collecte de leurs données de géolocalisation par la société, via l’installation d’un SDK, à des fins de publicité ciblée.
Dès lors, le consentement recueilli n’est pas informé en l’espèce.
En deuxième lieu, le consentement doit être spécifique.
Dans ses lignes directrices du 10 avril 2018 sur le consentement au sens du Règlement 2016/679, le G29 indique qu’ afin de se conformer au caractère spécifique du consentement, le responsable du traitement doit garantir :
(i) la spécification des finalités en tant que garantie contre tout détournement d’usage,
(ii) le caractère détaillé des demandes de consentement, et
(iii) la séparation claire des informations liées à l’obtention du consentement au traitement des données et des informations concernant d’autres sujets.
Le RGPD établit clairement que le consentement nécessite une déclaration de la part de la personne concernée ou un acte positif clair, ce qui signifie qu’il doit toujours être donné par une déclaration ou un geste actif. […] Le silence ou l’inactivité de la personne concernée, ainsi que le simple fait qu’elle continue à utiliser un service, ne peuvent être considérés comme une indication active de choix.