AgentPublic/cnil huggingface dataset:
- Il a également été possible de consulter un échange de courriels entre une femme et un homme mariés, cherchant tous deux une relation extraconjugale. Les coordonnées GPS associées à cette requête, identifiées en clair, pointent vers une adresse précise (un numéro de rue dans une ville du département du Rhône). Les personnes concernées sont identifiées par leurs prénoms et leurs adresses de courrier électronique. 
Ces rapprochements ont été opérés par la CNIL sans difficulté particulière, alors même que les identifiant SSID et les adresses MAC des point d'accès de ces utilisateurs, connus de la société, avaient en revanche été supprimés des informations lui ayant été fournies. 
- Sur les identifiants SSID et des adresses MAC captés par les [...]
Lors du contrôle du 4 juin 2010, la société X a remis à la délégation de la Commission la copie d'un disque dur comprenant l'ensemble des informations collectées à l'issue d'une opération de collecte effectuée par un véhicule [...] (zone autour de la ville de MILLAU - fin avril-mai 2010.
L'analyse de ce disque dur, qui correspond à un parcours réalisé le long de grands axes routiers dans la région Languedoc-Roussillon, a révélé la présence de plus de 6 000 identifiants SSID et de plus de 185 000 adresses MAC.
Elle a par ailleurs permis d'établir que les [...] enregistraient non seulement les adresses MAC des points d'accès Wi-Fi, mais aussi les adresses MAC de l'ensemble des terminaux connectés à ces points d'accès (ordinateurs personnels, imprimantes et autres périphériques, smartphones, etc). 
6. La demande d'avis informel émise par la société sur la reprise de circulation des [...] (15 juillet 2010)
Par un courriel du 15 juillet 2010, la société a indiqué à la Commission qu'elle planifiait le prolongement ou non des contrats liés aux voitures de X et leurs conducteurs. Elle a précisé que lors du redémarrage, les voitures ne comporteront plus aucun équipement de collecte Wi-Fi. Au terme de ce courriel, la société sollicitait un avis informel de la Commission sur l'articulation avec la procédure en cours. 
Les services de la Commission ont répondu à cette demande le 16 juillet 2010, en précisant que conformément à ce qui a été précisé dans le procès-verbal rédigé à l'occasion du contrôle effectué le 19 mai 2010, la CNIL demande à être informée dès qu'un véhicule [...] collectera à nouveau des données en France afin qu'une délégation de la CNIL puisse assister aux opérations de collecte et avoir copie, à des fins d'analyse, des informations qui auront été collectées à cette occasion.
Compte tenu de la procédure de mise en demeure en cours, les services se sont abstenus de tout avis informel sur la reprise de circulation des [...], la possibilité de formuler un tel avis n'étant d'ailleurs pas prévue par la loi. 
7. Le contrôle portant sur le service [...] suite à la mise en demeure
Les services de la Commission ont procédé à un contrôle sur place le 21 juillet 2010 auprès de la société Y afin d'obtenir des précisions sur les caractéristiques techniques des services de géolocalisation proposés par la société, dont le service [...], dès lors que leurs demandes antérieures en ce sens n'avaient pas été satisfaites. 
Lors du contrôle, la société a précisé la portée de la déclaration modificative reçue par la Commission le 8 juin 2010, concernant le service [...]. Elle a informé la délégation que la modification précitée vise à régulariser la formalité effectuée en y intégrant les données Wi-Fi qui ont été collectées jusqu'ici. Cette modification vise également à préciser que les données Wi-Fi collectées sont utilisées dans le cadre des applications de géolocalisation proposées par Y. 
Au terme de ce contrôle, la délégation a remis à la société la copie d'un questionnaire, déjà adressé le 13 juillet 2010, comportant notamment la question suivante : Pour reconnaître un point d'accès Wi-Fi les services de géolocalisation de Y (utilisés par [...]) ont-ils besoin de son SSID ? L'adresse MAC n'est-elle pas suffisante ?
Par un courrier de réponse daté du 3 août 2010 (ultérieurement complété par un courrier du 15 septembre 2010), la société a transmis à la CNIL des éléments de réponse à ce questionnaire, indiquant notamment que la société n'utilisait alors pas les données SSID pour fournir le service [...]. 
8. Le contrôle du 30 juillet 2010
La Commission a de nouveau procédé à une mission de contrôle le 30 juillet 2010 afin d'examiner le fonctionnement et les caractéristiques techniques d'une [...], à la suite de la mise en demeure du 26 mai 2010. Ce contrôle s'est en partie déroulé dans les locaux de la Commission, en coordination avec la société. 
La délégation a procédé à des constatations sur les dispositifs techniques mis en œuvre au sein du véhicule, en particulier les dispositifs de collecte (appareils photo, antennes, gyroscope, etc). Elle a été informée par la société que le véhicule ne dispose d'aucun moyen de captation des signaux Wi-Fi et qu'aucune donnée Wi-Fi ne sera collectée par le véhicule. 
Le disque dur de collecte du véhicule, qui devait être remis à la délégation au terme d'un déplacement dans Paris, n'a pu être remis en raison de l'impossibilité technique de lire et de copier ce disque. La société a alors proposé à la Commission, qui a accepté, de conserver le disque dur de collecte inexploitable.
Ce n'est qu'au terme d'un second contrôle, effectué le 11 août 2010, et de l'analyse du disque dur fourni par la société, qu'il est apparu que les données enregistrées étaient effectivement constituées de photographies et de données GPS, et ne comportaient plus de fichiers de données Wi-Fi. 
Au terme de la mission de contrôle, il a par ailleurs été demandé à la société d'indiquer si des identifiants d'antennes GSM ( Cell IDs ) étaient enregistrés par ses véhicules. La société a répondu par courriel, le 13 août 2010, qu'elle ne collectait pas de telles données par le biais des véhicules [...], tout en précisant que ces données étaient collectées dans le cadre d'autres services, tels que [...]. 
9. L'annonce par la société de la remise en circulation des [...]
Par courriel en date du 18 août 2010, la société a informé la CNIL qu'elle rendrait publique, dès le lendemain, la reprise de la conduite des voitures du service [...] en France. 
Dès le lendemain, la Commission a adressé à X un courrier recommandé daté du 19 août 2010 afin de rappeler qu'en l'état, X n'a pas encore fourni l'ensemble des réponses ou éléments demandés par la mise en demeure du 26 mai 2010 et lors des contrôles postérieurs. Le courrier ajoute que la reprise de la circulation des [...] et de leur collecte placerait [la] société dans une situation juridique vulnérable dans la mesure où la formation restreinte ne s'est pas encore prononcée [sur les suites à donner à la mise en demeure].
L'annonce de la remise en circulation des [...] a effectivement été rendue publique le 19 août 2010, en dépit du fait qu'une procédure était toujours en cours suite à l'adoption de la mise en demeure du 26 mai 2010 et de la poursuite des contrôles. 
10. Le contrôle effectué à la suite de la remise en circulation des [...]
A la suite de cette annonce, la Commission a procédé à un contrôle sur place auprès de la société le 25 août 2010, afin d'examiner le fonctionnement d'une [...]. 
Lors du contrôle, la délégation a été informée que 22 véhicules [...] avaient été remis en circulation en France, dont un en Île de France. Après avoir constaté l'absence d'antenne Wi-Fi et l'absence du logiciel [...] dans la liste des logiciels installés au sein du véhicule, elle a procédé à un parcours d'une heure environ dans le véhicule. 
A l'issue de ce parcours, la délégation a procédé à l'analyse du disque dur embarqué, et constaté que les données enregistrées sont constituées de photographies et de données GPS, et ne comportent pas de fichiers de données Wi-Fi. 
II. PROCEDURE
Sur la base de ces échanges et des constats opérés lors des missions de vérification sur place diligentées postérieurement à la mise en demeure, la Commission a engagé une procédure contre la société X sur le fondement du 1° du I de l'article 45 de la loi du 6 janvier 1978 modifiée, qui dispose :
"I. - La Commission nationale de l'informatique et des libertés peut (...) mettre en demeure le responsable de faire cesser le manquement constaté dans un délai qu'elle fixe.
Si le responsable d'un traitement ne se conforme pas à la mise en demeure qui lui est adressée, la commission peut prononcer à son encontre, après une procédure contradictoire, les sanctions suivantes : 
1° Une sanction pécuniaire, dans les conditions prévues par l'article 47, à l'exception des cas où le traitement est mis en œuvre par l'État ; (...)". 
Le rapport de M. Philippe GOSSELIN, membre de la CNIL, rapporteur, proposant à la formation restreinte de la CNIL de prononcer une sanction pécuniaire de 150 000 € à l'encontre de la société X, a été notifié par courrier en date du 28 octobre 2010, reçu le 1er novembre 2010. Copie de ce courrier a également été notifiée à la société Y par courrier en date du 28 octobre 2010, reçu le 29 octobre 2010. 
A l'appui de sa proposition, le rapporteur a fait valoir la constatation de plusieurs manquements à la loi du 6 janvier 1978 modifiée, tels qu'ils découlaient, selon lui, du non-respect de la mise en demeure préalablement prononcée, à savoir :
- Un manquement à l'obligation d'accomplir les formalités préalables à la mise en œuvre du traitement [...] ;
- Un manquement au respect de la vie privée et des libertés individuelles ;
- Un manquement à l'obligation d'effectuer une collecte loyale et licite des données ;
- L'insuffisance des réponses apportées par la société aux demandes de la Commission. 
Le courrier de notification qui accompagnait le rapport informait par ailleurs celle-ci que son dossier était inscrit à l'ordre du jour de la formation restreinte du lundi 6 janvier 2011 à 14h30. 
La société a fait part de ses observations écrites sur le rapport par un courrier de son conseil, en date du 28 décembre 2010. Lors de la séance de la formation restreinte de la CNIL du lundi 6 janvier 2011, elle a en outre réitéré ces observations en défense oralement. 
La société, sans remettre en cause la matérialité des faits constatés, a, pour l'essentiel, conclu à l'irrégularité des procédures initiées par la CNIL, à l'inapplicabilité de la loi du 6 janvier 1978 modifiée en août 2004 au service [...], à la cessation de tous les manquements constatés dans la mise en demeure, et à la bonne volonté manifestée par la société dans sa coopération avec la CNIL sur ce dossier. 
III. MOTIFS DE LA DECISION 
1. Sur l'irrégularité alléguée des décisions de contrôle sur place
Dans ses écritures comme en séance, la société soutient que les différents contrôles sur place diligentés par la CNIL dans cette affaire l'ont été en violation des dispositions de la loi du 6 janvier 1978 modifiée.
- En premier lieu, la société reproche aux services de la Commission d'avoir procédé à sept contrôles sur place sur la base d'une seule et unique décision de procéder à un contrôle, en l'occurrence la décision adoptée par le président de la CNIL le 17 mai 2010. Ceci serait, selon elle, contraire à la loi informatique et libertés. 
Sur ce point, la formation restreinte relève qu'aucune disposition de la loi du 6 janvier 1978 modifiée n'impose au président de la CNIL d'adopter plusieurs décisions de procéder à plusieurs missions de contrôle sur place quand les vérifications opérées se rapportent toutes à un seul et même objet. 
Elle note à cet égard que la décision du président de la Commission, en date du 17 mai 2010, justifie que soient diligentées des vérifications dans cette affaire par le fait qu'il importe de vérifier le respect, par la société X, représentée par la société Y, située [...], de l'ensemble des dispositions de la loi du 6 janvier 1978 modifiée le 6 août 2004. Elle prévoit également que la mission de contrôle sur place aura lieu auprès de cette société et, le cas échéant, de tout autre lieu concerné par les traitements ou fichiers mis en œuvre pour le compte de la société X La décision, qui ne fixe délibérément aucune date particulière pour la tenue de la mission de contrôle, est formulée de manière à permettre le prolongement éventuel des vérifications, dans l'espace comme dans le temps.
Il ressort en outre des pièces du dossier que les contrôles diligentés par les services de la CNIL auprès de la société Y, représentant la société X, ont été organisés dans la continuité d'une même procédure, et ne peuvent de ce fait être considérés comme portant sur des objets différents. A titre d'exemple, elle relève ainsi que la tenue du contrôle du 18 janvier 2010 a été convenue avec la société lors du précédent contrôle du 11 décembre 2009, afin que les services de la Commission puissent procéder à l'examen d'une [...] en état de marche ; de même, le contrôle du 4 juin 2010 avait pour objectif d'obtenir communication des copies informatiques visées par la mise en demeure du 26 mai 2010, celle-ci faisant elle-même référence aux contrôles diligentés par les services de la CNIL avant cette date. 
Au vu de ce qui précède, il ne peut être contesté que l'ensemble des contrôles diligentés dans cette affaire avait pour finalité de permettre à la CNIL d'avoir une parfaite compréhension du fonctionnement des services de géolocalisation offerts par la société X, représentée par la société Y, et d'établir si les traitements mis en œuvre dans ce cadre étaient conformes à la loi informatique et libertés. 
La formation restreinte estime, dès lors, que la décision du président de la Commission du 17 mai 2010 pouvait valablement servir de base à la succession de contrôles diligentés dans cette affaire.
- En second lieu, la société soutient que les contrôleurs de la CNIL n'auraient pas informé les collaborateurs de la société Y de l'objet des vérifications opérées au plus tard au début de ces contrôles, mais au fur et à mesure des vérifications. Ceci serait, selon elle, contraire aux dispositions de l'alinéa 1 de l'article 62 du décret du 20 octobre 2005, qui prévoient que lorsque la commission effectue un contrôle sur place, elle informe au plus tard au début du contrôle le responsable des lieux de l'objet des vérifications qu'elle compte entreprendre, ainsi que de l'identité et de la qualité des personnes chargées du contrôle.
Sur ce point, la formation restreinte relève qu'il ressort des procès-verbaux établis par les contrôleurs de la CNIL, signés par les représentants de la société à l'issue des vérifications, que l'objet de celles-ci a été systématiquement communiqué à la société par les contrôleurs de la CNIL, au plus tard au début des contrôles.
Elle relève en outre que l'objet de ces contrôles a même parfois été communiqué en amont des contrôles, que ce soit par téléphone ou par courrier électronique, comme il ressort des procès-verbaux de contrôle rédigés à l'issue de ces missions, conformément à la loi. A titre d'exemple, la société a été informée par mél, le 13 juillet 2010, de l'organisation d'un contrôle dans ses locaux le 21 juillet 2010, cet envoi étant assorti d'une liste de questions très précises, sans ambiguïté sur l'objet du contrôle ; de même, la société a été préalablement informée par mél, le 23 juillet 2010, de l'objet d'un contrôle appelé à se tenir le 30 juillet 2010 dans ses locaux. 
La formation restreinte souligne en outre que les visas des procès-verbaux rédigés à l'issue des contrôles indiquent, tous sans exception, que le responsable des lieux a bien été informé de l'objet des vérifications, de l'identité et de la qualité des personnes chargées du contrôle, et que ces documents ont été signés sans observations des représentants de la société sur ce point. 
Dès lors, elle considère l'objection de la société sur ce point inopérante. 
- En troisième lieu, la société soutient que les procédures de contrôle sur place diligentées par les services de la Commission seraient irrégulières dans la mesure où elles n'auraient pas fait l'objet d'une autorisation judiciaire préalable.
Sur ce point, la formation restreinte relève que le droit en vigueur n'impose aucunement aux services de la CNIL de requérir l'autorisation préalable des contrôles qu'ils diligentent auprès du juge judiciaire. Une telle demande d'autorisation n'a à être requise que de manière subsidiaire, en cas d'opposition du responsable des lieux à la tenue d'un contrôle. Dans ses arrêts Inter Confort et Pro Décor du 6 novembre 2009, le Conseil d'Etat a en effet estimé que la faculté du responsable des locaux de s'opposer à la visite [de la CNIL], laquelle ne peut alors avoir lieu qu'avec l'autorisation et sous le contrôle du juge judiciaire, offre une garantie équivalente à l'autorisation préalable du juge. Or, la société ne s'étant pas opposée à la tenue des contrôles diligentés auprès d'elle, celle-ci ne saurait valablement alléguer de l'irrégularité des procédures diligentées par la CNIL sur ce fondement. 
2. Sur l'irrégularité alléguée de la mise en demeure prononcée
Dans ses écritures ainsi qu'en séance, la société a reproché à la CNIL d'avoir adopté la mise en demeure du 26 mai 2010 avant l'expiration des délais impartis lors du contrôle du 19 mai 2010 ; elle considère ainsi que la mise en demeure, adoptée moins de 5 jours ouvrés après le contrôle du 19 mai, aurait été adoptée de manière irrégulière.
Sur ce point, la formation restreinte relève qu'il ressort des pièces du dossier que le procès-verbal de contrôle du 19 mai 2010 fixait plusieurs délais, en fonction des demandes formulées par la délégation de contrôle à l'issue de celui-ci. Il apparaît à la lecture de ce procès-verbal qu'un délai de cinq jours ouvrés a été spécifiquement imparti à la société pour communiquer le code source du programme informatique utilisé jusque la date du 14 mai 2010, en identifiant la partie du code ayant conduit à collecter les données relative au contenu des bornes Wi-Fi, ainsi que pour répondre à diverses questions. En revanche, il s'avère que la délégation de contrôle a imparti un délai distinct de trois jours pour que la société communique à la CNIL une copie intégrale des données relatives au issu des bornes Wi-Fi pour la France, isolée par X.
Le délai de transmission à la CNIL du contenu des communications Wi-Fi captées en France était donc bien de trois jours ouvrés. En tenant compte de la fermeture des locaux de la Commission le 24 mai, il résulte de ce qui précède que le délai fixé par la délégation de contrôle expirait le 25 mai 2010. La mise en demeure adoptée par le bureau de la Commission le 26 mai a donc bien été adoptée après l'expiration du délai imparti à Y lors du contrôle du 19 mai 2010. 
La formation restreinte, dès lors, ne saurait accueillir l'objection de la société sur ce point.
3. Sur l'insuffisance alléguée du délai accordé à la société pour répondre au rapport de sanction
La société estime dans ses écritures ne pas avoir bénéficié de suffisamment de temps ni d'informations pour répondre au rapport de sanction lui ayant été notifié le 28 octobre 2010. 
Elle soutient à cet égard que la mise en demeure adoptée par la formation restreinte et le rapport d'expertise du service informatique de la CNIL ayant été rédigés exclusivement en langue française, la CNIL aurait violé l'article 6-3 de la Convention européenne des droits de l'homme, qui prévoit que tout accusé a droit notamment à (...) être informé, dans le plus court délai, dans un langue qu'il comprend et d'une manière détaillée, de la nature et de la cause de l'accusation portée contre lui . De surcroit, le temps nécessaire à la traduction de ces documents s'étant imputé sur le délai de réponse à la mise en demeure, le délai de mise en conformité prévu par la mise en demeure adoptée en urgence était selon elle excessivement bref (sept jours).
Sur ce point, la formation restreinte rappelle que la vocation même de la mise en demeure adressée en urgence est d'enjoindre au plus vite à l'organisme concerné de respecter la loi, en lui précisant les manquements constatés et les mesures à prendre pour remédier à ces manquements. Dans de telles circonstances, les dispositions de l'article 73 du décret d'application de la loi informatique et libertés prévoient que le bureau peut adopter un délai de mise en conformité inférieur à dix jours en cas d'urgence. 
En l'espèce, le délai de sept jours imparti à la société apparaît donc parfaitement conforme aux dispositions légales et réglementaires applicables. 
Il ressort en outre des pièces du dossier que Monsieur Philippe GOSSELIN, membre de la CNIL, n'a été désigné en qualité de rapporteur devant la formation restreinte sur cette affaire que le 7 octobre 2010, c'est-à-dire plus de quatre mois après l'adoption de la mise en demeure. La société avait donc la possibilité de se mettre en conformité par rapport aux manquements constatés dans ce délai de quatre mois précédant l'audience. 
La formation restreinte juge donc qu'il est excessif de la part de la société, au vu de ces circonstances, de soutenir qu'elle a fait l'objet d'une procédure précipitée, au mépris de ses droits.
S'agissant des difficultés qu'aurait rencontrées la société pour répondre aux demandes de la CNIL, du fait que celle-ci n'aurait pas fourni les documents de procédure en anglais, la formation restreinte relève qu'une jurisprudence établie du Conseil d'Etat prévoit que la notification d'écritures en langue française ne porte pas atteinte aux droits de l'organisme visé, dès lors que ce dernier est représenté par un avocat français (arrêt du 7 décembre 2005, société RYANAIR, n° 270424, publié au recueil Lebon). La société X disposant d'un conseil en France, une telle traduction n'était de ce fait pas nécessaire. La formation restreinte relève, en outre, que la CNIL a communiqué à la société le rapport de sanction traduit en langue anglaise, ce qui dénote de la volonté de la Commission de respecter le droit de la société à un procès équitable au sens de la Convention européenne des droits de l'homme et des libertés fondamentales. 
La formation restreinte, dès lors, n'accueille pas davantage l'objection que forme la société à l'encontre de la CNIL sur ce point. 
4. Sur la qualification préalable des données collectées comme des données à caractère personnel
- Textes applicables
L'article 2 de la loi du 6 janvier 1978 modifiée en août 2004 dispose que : "Constitue une donnée à caractère personnel toute information relative à une personne physique identifiée ou qui peut être identifiée, directement ou indirectement, par référence à un numéro d'identification ou à un ou plusieurs éléments qui lui sont propres. Pour déterminer si une personne est identifiable, il convient de considérer l'ensemble des moyens en vue de permettre son identification dont dispose ou auxquels peut avoir accès le responsable du traitement ou toute autre personne". 
Par ailleurs, l'article 2 de la Directive 95/46 du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données dispose qu' on entend par (...) "a) données à caractère personnel : toute information concernant une personne physique identifiée ou identifiable (personne concernée); est réputée identifiable une personne qui peut être identifiée, directement ou indirectement, notamment par référence à un numéro d'identification ou à un ou plusieurs éléments spécifiques, propres à son identité physique, physiologique, psychique, économique, culturelle ou sociale".