AgentPublic/cnil huggingface dataset:
ce qu’une action positive de sa part, à savoir la poursuite de la navigation sur le site, est requise pour exprimer son accord au dépôt des cookies. 
La société a indiqué en outre à la délégation qu’aucun dispositif d’opposition ou de recueil de consentement au dépôt de cookie n’est proposé par la société aux utilisateurs du site. 
Par ailleurs, la délégation a constaté que le dépôt de cookies dans l’équipement terminal de communications électroniques de l’internaute s’opère dès la connexion au site web, avant toute action de la part de l’internaute tendant à poursuivre sa navigation sur le site. 
Au regard de ce qui précède, il apparaît que le site web n’a pas informé les personnes concernées et n’a pas recueilli leur consentement avant de procéder au dépôt des cookies. 
En second lieu, la délégation a constaté sur le site ZZ, la présence d’un bandeau, indiquant : ZZ utilise des cookies pour vous offrir le meilleur service possible. En continuant votre navigation, vous en acceptez l’utilisation. 
La délégation a constaté le dépôt de cookies à finalité publicitaire au cours de la navigation sur le site web, dont notamment les cookies dénommés id du nom de domaine doubleclick.net , uid du nom de domaine criteo.com , et test_cookie du nom de domaine doubleclick.net , ce dernier étant déposé dans l’équipement terminal de communications électroniques de l’internaute avant toute action de sa part tendant à poursuivre sa navigation sur le site.
Il en résulte que la mention d’information délivrée sur le bandeau de la page d’accueil n’est pas satisfaisante dans la mesure où la personne n’est pas informée :
des finalités publicitaires de certains des cookies déposés ;
de la possibilité de changer les paramètres des cookies en cliquant sur un lien présent dans le bandeau. 
Au regard de ce qui précède, il apparaît que le site web n’a pas correctement informé les personnes concernées et n’a pas recueilli leur consentement avant de procéder au dépôt des cookies. 
L’ensemble de ces faits constitue un manquement au II de l’article 32 précité de la loi du 6 janvier 1978 modifiée, qui soumet notamment à information et à accord préalables de l’internaute le dépôt de tels cookies. 
Il est rappelé qu’en application des articles 131-41 et R. 625-10 du code pénal combinés, le fait pour la personne morale responsable d’un traitement de ne pas informer les personnes concernées et obtenir leur accord avant d’accéder à ou d’inscrire des informations dans leur équipement terminal de communications électroniques est puni d’une peine d’amende pouvant atteindre 7.500 €. 
Un manquement à l’obligation d’assurer la sécurité et la confidentialité des données 
(...)
Eu égard notamment à la sensibilité des données, ces faits constituent un manquement à l’article 34 de la loi n° 78-17 du 6 janvier 1978 disposant que Le responsable du traitement est tenu de prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher qu’elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès. 
Il est en outre rappelé qu’en application des articles 226-17 et 226-24 du code pénal combinés, le fait pour une personne morale de procéder ou de faire procéder à un traitement de données à caractère personnel sans mettre en œuvre les mesures prescrites à l’article 34 de la loi n° 78-17 du 6 janvier 1978 précitée est puni d’une peine d’amende pouvant atteindre 1.500.000 €. 
Un manquement à l’obligation d’assurer la sécurité et la confidentialité des données gérées par un sous-traitant 
Le contrat conclu entre la société X et le prestataire d’emailing (...) ne prévoit pas de clause relative aux obligations du sous-traitant en matière de protection de la sécurité et de la confidentialité des données et précisant que le sous-traitant ne peut agir que sur instruction du responsable du traitement. De plus, le contrat avec la société (...) n’a pas été signé par cette dernière.
Ces faits constituent un manquement aux dispositions de l’article 35 de la loi n° 78-17 du 6 janvier 1978 qui dispose notamment que Le sous-traitant doit présenter des garanties suffisantes pour assurer la mise en œuvre des mesures de sécurité et de confidentialité mentionnées à l’article 34. Cette exigence ne décharge pas le responsable du traitement de son obligation de veiller au respect de ces mesures. Le contrat liant le sous-traitant au responsable du traitement comporte l’indication des obligations incombant au sous-traitant en matière de protection de la sécurité et de la confidentialité des données et prévoit que le sous-traitant ne peut agir que sur instruction du responsable du traitement. 
Un manquement à l’obligation de respecter les dispositions de l’article L. 34-5 du code des postes et des communications électroniques 
La société a indiqué qu’elle pouvait être amenée à réaliser des campagnes publicitaires par envoi de courriers électroniques à destination de la communauté juive pour son propre compte ou pour le compte de clients annonceurs. 
Concernant le site web YY, la délégation a constaté que la case J’autorise YY à transmettre mes informations à des tiers est précochée. La société a précisé qu’en tout état de cause, que la case demeure cochée ou qu’elle soit décochée, la société peut réaliser des campagnes de prospection par voie électronique sur l’adresse mail utilisée par les membres lors de leur inscription.
Concernant le site web YY, la délégation a constaté que la case Je ne souhaite pas recevoir les bons plans YY (promotions, soirées, voyages célibataires...) n’est pas précochée (opt-out). Toutefois, il a été précisé que cette case offre la possibilité de recevoir, par courriel, de la publicité de la société mais également de ses partenaires (annonceurs). 
D’une part, en adressant dans tous les cas des mails de prospection à ses membres, indépendamment de la prise en compte du caractère coché ou non de la case, la société ne procède pas au recueil du consentement des membres à la prospection électronique (opt-in). 
D’autre part, il y a lieu de relever que si le consentement de la personne était respecté, la formulation employée devant la case aurait en tout état de cause pour effet de rendre incomplète l’information de la personne quant à la portée de son consentement, celle-ci ne sachant pas spécifiquement pour quelles finalités elle accepte de transmettre ses informations, ni quelles sont les catégories de personnes auxquelles ses informations sont transmises. 
Il en résulte que la personne concernée par la collecte de données à caractère personnel n’est pas en mesure de manifester une volonté libre, spécifique et informée, au sens des dispositions de l’article L. 34-5 du code des postes et des communications électroniques.
Dès lors, ces faits constituent un manquement aux obligations découlant de l’article L. 34-5 du code des postes et des communications électroniques qui dispose qu’ est interdite la prospection directe au moyen d’un automate d’appel, d’un télécopieur ou d’un courrier électronique utilisant, sous quelque forme que ce soit, les coordonnées d’une personne physique qui n’a pas exprimé son consentement préalable à recevoir des prospections directes par ce moyen. 
Il est rappelé qu’en application des articles 121-2, 131-13, 131-41 du code pénal et de l’article R. 10-1 du code des postes et communications électroniques, la commission de tels faits par une personne morale est susceptible d’être punie d’une peine d’amende pouvant atteindre 3.750 euros, et ce, pour chaque communication. 
En conséquence, la société X, […], est mise en demeure, sous un délai de trois (3) mois, à compter de la notification de la présente décision, et sous réserve des mesures qu’elle aurait déjà pu adopter, pour l’ensemble de ses sites web, de : 
procéder à l’accomplissement des formalités préalables applicables aux traitements mis en œuvre, en particulier procéder à une demande d’autorisation en ce qui concerne les traitements de données susceptibles d’exclure des personnes ;
procéder à un traitement loyal des données personnelles, notamment en informant les membres du site web, en particulier les membres VIP , de ce que leur profil, comprenant notamment leur photo, est susceptible de figurer sur la page d’accueil du site web accessible aux non-membres et les informer de leurs droits d’opposition au traitement de ces données ; à défaut, rendre ces données inaccessibles aux non-membres ; 
recueillir le consentement exprès des personnes, sur la base d’une information spécifique, à la collecte et au traitement de leurs données sensibles - aux fins d’accès au service et aux fins de prospection commerciale - par tout procédé, tel qu’une case à cocher, apposé à l’endroit de la collecte ; 
procéder à l’information des utilisateurs du site, conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, directement sur les formulaires de collecte des données, des traitements de leurs données à caractère personnel ; 
définir et mettre en œuvre une politique de durée de conservation des données relatives aux utilisateurs qui n’excède pas la durée nécessaire aux finalités pour lesquelles elles sont collectées, et notamment :
respecter la durée de conservation des données à caractère personnel, telle qu’indiqué dans l’engagement de conformité à la norme simplifiée n° 48 relative à la gestion des clients et des prospects, en particulier conserver les données des clients uniquement pendant la durée de la relation commerciale, en dehors des prescriptions légales applicables ; à défaut procéder à la modification de cette déclaration et justifier de la durée de conservation choisie ;
procéder à la purge des données relatives aux comptes ayant été supprimés (comptes dont les utilisateurs se sont désinscrits) et aux comptes inactifs (suspension volontaire du compte incluse) depuis un certain délai, 2 ans par exemple ;
définir et mettre en œuvre une politique d’archivage intermédiaire des données des membres qui n’excède pas la durée nécessaire aux finalités pour lesquelles elles sont collectées, en particulier s’agissant des finalités probatoires, et prévoir à cet effet une base de données d’archives dédiée ou une séparation logique dans la base de données active, après avoir opéré un tri des données pertinentes à archiver ; procéder à la purge des données des profils archivés qui ne sont pas nécessaires à l’établissement de la preuve d’un droit ou d’un contrat ou au respect d’une obligation légale ;
le cas échéant, pour les traitements ayant pour finalité l’élaboration de statistiques, veiller à l’anonymisation irréversible en procédant à la purge de toutes données à caractère personnel, y compris les données indirectement identifiantes ;
en matière de données relatives aux transactions bancaires, procéder à la purge de ces données à l’issue de l’expiration du délai de 10 ans, conformément aux dispositions des textes applicables en matière de conservation des données comptables ;
en matière de cookies, ne pas déposer de cookies dont la durée de validité est supérieure à treize mois après leur dépôt sur l’équipement terminal de la personne concernée. 
informer et obtenir l’accord préalable des personnes concernées à l’inscription d’informations sur leur équipement terminal (cookies) et à l’accès à celles-ci (lecture des cookies). A cet égard, il appartient à la société, sauf à mettre en place un dispositif présentant les mêmes garanties :
d’indiquer aux personnes concernées, au préalable et de manière claire et complète, sur le bandeau présent sur le site internet :
les finalités de tous les cookies soumis au consentement (pour les 2 sites web) ;
que la personne concernée a la possibilité de changer les paramètres de ces cookies en cliquant sur un lien présent dans le bandeau. Ce bandeau doit renvoyer vers une page présentant les solutions adéquates mises à la disposition des personnes concernées pour accepter ou refuser le dépôt des cookies (pour les 2 sites web) ;
que la poursuite de la navigation vaut consentement au dépôt des cookies ;
de conditionner cette inscription et cet accès à une action positive préalable des personnes concernées (pour les 2 sites web) ; 
prendre toute mesure de sécurité, pour l’ensemble des traitements de données à caractère personnel qu’elle met en œuvre, permettant de préserver la sécurité de ces données et d’empêcher que des tiers non autorisés y aient accès,
(...) 
prévoir au sein de tous les contrats liant la société X aux sociétés prestataires de services, en particulier la société (...), des clauses permettant de définir les obligations incombant aux prestataires en matière de protection de la sécurité et de la confidentialité des données des clients de la société X et préciser que les prestataires ne peuvent agir que sur instruction du responsable du traitement, conformément aux dispositions de l’article 35 de la loi du 6 janvier 1978 modifiée ; 
ne pas traiter les données à des fins de prospection directe électronique, sans avoir au préalable recueilli le consentement libre, spécifique et informé des personnes concernées, notamment en précisant les finalités de la transmission des données ainsi que les catégories de personnes auxquelles les données sont transmises, et en cessant de prospecter les personnes qui n’ont pas coché la case par laquelle elles consentent à la prospection commerciale par voie électronique ;
justifier auprès de la CNIL que l’ensemble des demandes précitées a bien été respecté pour l’ensemble de ses sites web, et ce dans le délai imparti. 
À l’issue de ce délai, si la société X s’est conformée à la présente mise en demeure, il sera considéré que la procédure est close et un courrier lui sera adressé en ce sens. 
À l’inverse, s’il est constaté que la société X ne s’est pas conformée à la présente mise en demeure, un rapporteur pourra être désigné et demander à la formation restreinte de la Commission de prononcer l’une des sanctions prévues par l’article 45 de la loi du 6 janvier 1978 modifiée. 
La Présidente 
Isabelle FALQUE-PIERROTIN
La Présidente de la Commission nationale de l’informatique et des libertés ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code pénal ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 45 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;
Vu la décision n° 2014-298C du 24 octobre 2014 de la Présidente de la Commission nationale de l’informatique et des libertés de procéder à une mission de vérification de tout traitement de données à caractère personnel mis en œuvre dans le cadre de la gestion et de l’exploitation du site […] et des applications mobiles associées ;
Vu les procès-verbaux de contrôle sur place n° 2014-298/1 et n° 2014-298/2, respectivement des 3 et 4 novembre 2014 ainsi que le procès-verbal de contrôle en ligne n° 2014-298/3 du 11 mai 2015.
I- Constate les faits suivants
La société par actions simplifiée X (ci-après la société ), sise […], a pour activité principale la mise en ligne et la gestion du site de rencontre […]. Elle emploie environ 250 personnes et a dégagé un chiffre d’affaires de (…) sur l’exercice 2013 selon les informations délivrées par la société.
En application de la décision n° 2014-298C du 24 octobre 2014 de la Présidente de la Commission nationale de l’informatique et des libertés (ci-après la CNIL ou la Commission ), une délégation de la CNIL a procédé à une mission de contrôle sur place les 3 et 4 novembre 2014 auprès de la société X. La délégation s’est attachée à examiner la conformité des traitements de données à caractère personnel mis en œuvre par la société, ou pour son compte, aux dispositions de la loi n° 78-17 du 6 janvier 1978 modifiée, et en particulier ceux relatifs à la gestion et à l’exploitation du site web […] et des applications mobiles associées. Une délégation a également effectué un contrôle en ligne sur le site […] le 11 mai 2015 afin d’effectuer des constatations complémentaires.
La société a effectué auprès de la CNIL une déclaration n° 796865 le 15 mars 2002, modifiée les 27 juillet 2009 et 28 novembre 2011, puis le 31 juillet 2014 relative au traitement dont la finalité est intitulée Gestion des relations avec les membres et prospects des services X . Cette dernière modification porte sur les coordonnées du déclarant, de nouveaux transferts de données en dehors de l’Union européenne, (…), qui ont été autorisés, et sur la durée de conservation des données.
La délégation a été informée que le site web […] a été créé par la société X en 2002, laquelle est depuis 2009 une entité du groupe Y. Le site web est disponible dans quasiment tous les pays européens, ainsi qu’en version mobile, y compris sous la forme d’applications mobiles.
Il a été précisé que l’inscription sur le site web est gratuite. Depuis 2007, les utilisateurs peuvent également souscrire un abonnement payant afin d’accéder à l’ensemble des services du site.
Il a été constaté que la base de données contenait au total (…) comptes, dont (…) correspondent à des comptes ayant été clôturés. Seuls (…) comptes correspondent à des abonnés actifs, plus de (…) de comptes étant des comptes suspendus volontairement.
La délégation a constaté que, dans le cadre du processus d’inscription et de renseignement du compte, la société collecte auprès de ses membres des données sensibles relatives à leur vie sexuelle, à leur origine ethnique ou raciale et à leur opinion religieuse, en l’absence de recueil du consentement des personnes concernées.
La délégation a été informée que la société utilise plusieurs outils dans le cadre de la modération et de la lutte contre la fraude et le scam permettant notamment de procéder à l’exclusion des utilisateurs du site […]. Elle a constaté, dans l’outil de modération (…), la possibilité de rechercher un membre à partir de son numéro de carte de paiement tronqué. Sur cet outil, aucun renouvellement des mots de passe des utilisateurs n’est imposé.
(…)
Enfin, le contrôle en ligne effectué le 11 mai 2015 a permis de constater le dépôt de nombreux cookies dès l’arrivée sur la page d’accueil du site web.
II- Sur les manquements constatés au regard des dispositions de la loi du 6 janvier 1978 modifiée
Un manquement à l’obligation d’accomplir les formalités préalables à la mise en œuvre du traitement 
Dans le cadre de la modération, la délégation a constaté que la société met en œuvre des traitements d’exclusion temporaire ou définitive des utilisateurs du site dont le comportement est contraire à ses Conditions d’Utilisation ( CGU ). (…).
Par ailleurs, il a été indiqué que le site met en œuvre un traitement de blocage (…)
La société a précisé avoir également recours à l’outil (…) de lutte contre la fraude et le scam . (…).
En outre, elle a indiqué utiliser l’outil (…) qui est un outil automatisé d’analyse de texte permettant de déterminer un indice de confiance. (…)
Il a été précisé que le service modération peut également adresser un avertissement à un membre ou procéder à son exclusion sur la base d’un signalement ou du contenu de ses publications. L’exclusion d’un membre est effectuée (…) et sera temporaire ou définitive.
Il apparaît que ces traitements automatisés sont susceptibles d’exclure des personnes du bénéfice d’un contrat ou d’une prestation. Ils relèvent donc du régime de l’autorisation en matière de formalités préalables auprès de la CNIL.
Or, la société n’a procédé à aucune demande d’autorisation concernant de tels traitements.
Ces faits constituent un manquement aux dispositions du 4° de l’article 25-I de la loi du 6 janvier 1978 modifiée qui dispose que, sont mis en œuvre après autorisation de la CNIL, Les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d'exclure des personnes du bénéfice d'un droit, d'une prestation ou d'un contrat en l'absence de toute disposition législative ou réglementaire .
Il est rappelé qu’en application des articles 226-16 alinéa 1er et 226-24 du code pénal combinés, le fait pour une personne morale, y compris par négligence, de procéder ou de faire procéder à des traitements de données à caractère personnel sans qu'aient été respectées les formalités préalables à leur mise en œuvre prévues par la loi est puni d’une peine d’amende pouvant atteindre 1.500.000 €.
Un manquement à l’obligation de recueillir le consentement de la personne concernée pour le traitement de données sensibles relatives aux origines ethniques ou raciales, aux opinions religieuses et à la vie sexuelle des personnes
La délégation a constaté que l’internaute doit renseigner obligatoirement sur le formulaire d’inscription de la page d’accueil du site […] l’information relative à sa vie sexuelle.
Il a été constaté sur cette page d’accueil la présence de mentions d’information indiquant que Certains éléments (photographie, profil, style de vie) que [l’utilisateur peut] fournir pour [se] décrire peuvent, sous [sa] responsabilité exclusive, manifester [son] origine ethnique, [sa] nationalité ou [sa] religion. Le cas échéant, [la société X] traiter[a] et protéger[a] ces données conformément [au] libre choix [de l’utilisateur] et aux CGU de X.
La délégation a également constaté la collecte facultative de données relatives aux origines raciales ou ethniques ainsi que les opinions religieuses, une case je le garde pour moi pouvant être cochée. En outre, les étapes de renseignement du compte peuvent être validées sans renseignement de ces champs.
L’article 8 de la loi du 6 janvier 1978 modifiée prévoit notamment qu’il est interdit de collecter ou de traiter des données à caractère personnel qui sont relatives aux origines raciales ou ethniques, aux opinions religieuses et à la vie sexuelle des personnes, sauf dans les cas prévus au II de cet article, notamment en cas de consentement exprès des personnes concernées.
Or, le consentement ne peut être exprès que s’il est donné en toute connaissance de cause c’est-à-dire après la délivrance d’une information adéquate sur l'usage qui sera fait des données personnelles, indépendamment de la possibilité laissée à l’internaute de cocher une case je le garde pour moi ou de ne pas renseigner ses données.
En l’espèce, l’information quant au traitement des données sensibles est délivrée sur la page d’accueil en dessous du formulaire d’inscription au sein duquel des données relatives à la vie sexuelle sont collectées. Elle figure également dans les Conditions d’utilisation ( CGU ) dont le lien renvoyant vers celles-ci est cliquable jusqu’à la confirmation de l’inscription.