AgentPublic/cnil huggingface dataset:
enquête administrative pour que les  services étrangers puissent solliciter, dans ce cadre, les services  français. En outre, la commission estime, s'agissant des services  pouvant demander communication de données enregistrées dans le TAJ, que  seuls les services habilités, dans l'Etat requérant, à effectuer de  telles enquêtes devraient pouvoir solliciter les services français. Enfin, ces échanges d'informations doivent nécessairement intervenir  suivant la procédure définie par l'engagement international concerné et  des mesures de sécurité adéquates doivent être prévues. Il importe  ainsi que des canaux d'information sécurisés soient utilisés. Des  mesures de traçabilité, qui permettront de s'assurer a posteriori que  les données ont été transmises selon les règles applicables, doivent par  ailleurs être mises en œuvre, portant notamment sur la communication  des données, le destinataire, l'objet de la demande de l'Etat requérant,  le motif, le contenu et la date des échanges. Si le projet de décret ne peut lister de manière exhaustive des  mesures qui, en pratique, seront mises en œuvre de manière différenciée  par les Etats, la commission estime cependant qu'il devrait être  complété des garanties précédemment rappelées. En troisième lieu, la commission estime que le traitement de ces  demandes par les services français devrait également être entouré de  garanties complémentaires. Ainsi, avant même de procéder à la consultation du TAJ, les services  français devraient
procéder à des contrôles préalables permettant de  s'assurer que les services demandeurs sont habilités à solliciter des  informations (contrôle des habilitations) et qu'ils formulent la demande  dans le cadre d'une enquête administrative réglementée par la  législation de cet Etat (contrôle des motifs). Ces vérifications  devraient permettre de s'assurer que les services demandeurs  interviennent conformément à leur droit national. La commission prend acte des précisions apportées par le ministère  selon lesquelles certaines de ces garanties sont, en pratique, mises en  œuvre, notamment dans le cadre des échanges intervenant par  l'intermédiaire des centres de coopération policière et douanière  (CCPD). Toutefois, les échanges concernés par le projet de décret ne se  limitent pas, en théorie, aux seuls échanges transfrontaliers et il  importe dès lors que ces types contrôles mis en œuvre par les CCPD  soient systématiquement appliqués à l'ensemble des échanges intervenant  en application du présent projet de texte. Dès lors, si le projet de  décret ne peut lister l'ensemble des modalités concrètes de contrôle qui  peuvent être mises en œuvre, la commission estime toutefois qu'il  devrait mentionner l'existence de tels contrôles. En outre, la commission rappelle que les services français devront  transmettre les informations dans les conditions prévues par les  dispositions du  code de procédure pénale. A cet égard, elle rappelle que les services français qui  consulteront
le TAJ devront le faire uniquement par l'intermédiaire du  profil administratif, et en aucun cas avec le profil judiciaire. De même, les données transmises devront être conformes aux  dispositions de l'article 40-29 du CPP. Ainsi, le service de police  étranger ne devra être destinataire que de la seule information relative  à l'enregistrement dans le TAJ de la personne concernée en tant que  mise en cause ( inconnue  ou  connue ) et, le cas échéant, de la  qualification de l'infraction pour laquelle cette personne est inscrite  dans le traitement. S'il envisage, sur la base de ces informations, de  prendre une décision défavorable, il devra, dans un second temps, se  rapprocher des services français pour un complément d'information auprès  des services de police français et du procureur de la République pour  les suites judiciaires. Il appartiendra au ministère de l'intérieur, en  collaboration avec les Etats partenaires, de définir éventuellement des  procédures permettant un échange optimisé de ces dernières données et  des mesures de sécurité adéquates entourant ces transmissions.
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Jean-François CARREZ, Président, M. Alexandre LINDEN, Vice-président, M. Maurice RONAI, Mme Dominique CASTERA et Mme MITJAVILE, membres ;
Vu la Convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 45 et suivants ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la décision n° 2014-141C du 25 juin 2014 de la Présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou faire procéder à une mission de vérification relative à tout traitement mis en œuvre dans le cadre de la gestion et de l’exploitation du site internet […] et des applications correspondantes ;
Vu la décision n° 2015-048 du 24 juin 2015 de la Présidente de la Commission nationale de l’Informatique et des libertés mettant en demeure la société X ;
Vu la délibération du bureau de la Commission nationale de l’Informatique et des libertés n° 2015-246 du 15 juillet 2015 rendant publique la mise en demeure n° 2015-048 prise à l’encontre de la société X ;
Vu la décision de la Présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur, en date du 30 août 2016 ;
Vu le rapport de M. Éric PERES, commissaire rapporteur, du 30 août 2016 ;
Vu les observations écrites versées par la société X le 2 novembre 2016 ainsi que les observations orales formulées lors de la séance de la formation restreinte ;
Vu les autres pièces du dossier.
Etaient présents, lors de la séance de la formation restreinte du 3 novembre 2016 :
Monsieur Éric PERES, commissaire, entendu en son rapport ;
En qualité de représentants de la société X : Madame A, Directrice Générale et Monsieur B, Chef de produit ;
En qualité de conseil de la société X : Maître C, Avocat.
Madame Catherine POZZO DI BORGO, commissaire du Gouvernement adjoint, n’ayant pas formulé d’observation ;
Les représentants de la société X ayant eu la parole en dernier ;
Après en avoir délibéré, a adopté la décision suivante :
Faits et procédure
La société X (ci-après la société ), a pour activité principale la mise en ligne et la gestion du site de rencontre […] . Crée en 2007, le site vise un public haut de gamme , hétérosexuel et homosexuel. La société emploie environ [X] personnes et a réalisé un chiffre d’affaires d’environ [X] en 2015. Elle a fait l’objet d’un rachat en octobre 2016 par la société Y.
La société a effectué une déclaration normale n° 1232346 auprès de la Commission nationale de l’informatique et des libertés (ci-après la CNIL ou la Commission ), le 27 avril 2007, relative au traitement dont la finalité est intitulée  Fichier clients membres de la communauté gestion BD .
Les 2 juillet et 2 octobre 2014, en application de la décision n° 2014-141C du 25 juin 2014 de la Présidente de la Commission, une délégation de la CNIL a procédé à deux missions de contrôles sur place au sein des locaux de la société X. A cette occasion, des manquements à la loi du 6 janvier 1978 modifiée (ci-après loi Informatique et Libertés ) ont été constatés et les procès-verbaux n° 2014-141 du 2 juillet 2014 et n° 2014-141/2 du 2 octobre 2014 ont été notifiés à la société.
Par décision n° 2015-048 du 24 juin 2015 de la Présidente de la CNIL, la société a fait l’objet d’une procédure de mise en demeure lui enjoignant, dans le délai de 3 mois, d’adopter les mesures correctives suivantes :
- déposer une demande d’autorisation auprès de la CNIL en ce qui concerne les traitements de données susceptibles d’exclure des personnes ;
- recueillir le consentement exprès des personnes s’agissant de la collecte de leurs données sensibles ;
- procéder à l’information des utilisateurs directement sur les formulaires de collecte des données ;
- définir et respecter une durée de conservation des données proportionnée à la finalité du traitement ;
- informer et obtenir l’accord préalable des personnes concernées au dépôt et à la lecture de cookies sur leur équipement terminal ;
- assurer la sécurité et la confidentialité des données collectées ;
- assurer la sécurité et la confidentialité des données gérées par un sous-traitant.
Par courriers des 10 août, 11 septembre, 16 octobre et 23 octobre 2015, la société a communiqué des premiers éléments en réponse à la mise en demeure qui lui a été adressée. Elle a également sollicité le 16 octobre 2015, que le délai pour se mettre en conformité soit prolongé de six mois supplémentaires.
Après avoir constaté la mise en conformité de la société concernant trois des sept manquements énoncés dans la mise en demeure, à savoir la demande d’autorisation concernant les traitements de données susceptibles d’exclure des personnes, l’information des utilisateurs et la modification des contrats avec ses sous-traitants, la Présidente de la CNIL lui a accordé, par courrier du 23 octobre 2015, un délai additionnel jusqu’à fin janvier 2016.
A l’échéance de ce délai, la société a adressé à la CNIL, les 27 janvier et 25 mars 2016, des éléments de réponse sur trois des quatre manquements encore restants, à savoir les durées de conservation, les cookies et la sécurité et la confidentialité des données. En raison d’une part, de l’absence de réponse concernant le recueil du consentement sur les données sensibles et d’autre part, d’une conformité encore partielle sur les manquements susmentionnés, la Présidente de la CNIL lui a adressé une demande de compléments le 18 avril 2016.
Dans ce courrier, la Présidente de la CNIL relevait concernant les données sensibles, qu’une case à cocher unique renvoyant à trois informations distinctes avait été mise en place : la condition de majorité, l’acceptation des Conditions Générales d’Utilisation (CGU) et le traitement des données relatives à l’orientation sexuelle. Considérant que le consentement des utilisateurs au traitement de leur orientation sexuelle n’était dès lors pas exprès, la Présidente de la CNIL invitait la société à mettre en place, par exemple, une case à cocher distincte relative au traitement des données sensibles.
Après avoir répondu, le 23 mai 2016, aux manquements concernant les durées de conservation, les cookies et la sécurité et la confidentialité des données, la société a précisé, par courrier électronique du 13 juillet 2016, les éléments mis en œuvre s’agissant du recueil du consentement concernant le traitement des données sensibles.
Les réponses de la société sur ce point s’étant révélées insatisfaisantes, la Présidente de la Commission a désigné M. Éric Peres en qualité de rapporteur, le 30 août 2016, sur le fondement de l’article 46 de la loi du 6 janvier 1978 modifiée.
A l’issue de son instruction, le rapporteur a notifié à la société, par porteur, le 27 septembre 2016, un rapport détaillant le manquement relatif à l’article 8 de la loi Informatique et Libertés qu’il estimait caractérisé en l’espèce. Ce rapport proposait à la formation restreinte de la CNIL de prononcer une sanction pécuniaire de 30 000 euros, dont il sollicitait par ailleurs qu’elle soit rendue publique.
Etait également jointe au rapport une convocation à la séance de la formation restreinte du 3 novembre 2016 indiquant à l’organisme qu’il disposait d’un délai d’un mois pour communiquer ses observations écrites.
Le 2 novembre 2016, la société a produit des observations écrites sur le rapport, réitérées oralement lors de la séance de la formation restreinte du 3 novembre 2016.
Motifs de la décision
A.Un manquement à l’obligation de recueillir le consentement de la personne concernée pour le traitement des données sensibles
L’article 8° de la loi du 6 janvier 1978 modifiée prévoit que  I. - Il est interdit de collecter ou de traiter des données à caractère personnel qui font apparaître, directement ou indirectement, les origines raciales ou ethniques, les opinions politiques, philosophiques ou religieuses ou l'appartenance syndicale des personnes, ou qui sont relatives à la santé ou à la vie sexuelle de celles-ci. 
II. - Dans la mesure où la finalité du traitement l'exige pour certaines catégories de données, ne sont pas soumis à l'interdiction prévue au I : 1° Les traitements pour lesquels la personne concernée a donné son consentement exprès, sauf dans le cas où la loi prévoit que l'interdiction visée au I ne peut être levée par le consentement de la personne concernée ; […] .
La société a été mise en demeure de recueillir le consentement exprès des personnes, sur la base d’une information spécifique, à la collecte et au traitement de leurs données sensibles - en l’espèce les données relatives à la vie sexuelle des personnes. La mise en demeure précisait que ce consentement pouvait être recueilli par tout procédé, tel qu’une case à cocher, apposé à l’endroit de la collecte.
Il appartient à la formation restreinte de décider si la société X s’est conformée aux termes de la mise en demeure ou a manqué à l’obligation lui incombant de recueillir le consentement exprès des personnes au traitement de leurs données sensibles.
En défense, la société fait principalement valoir qu’une nouvelle mesure a été mise en place le 28 octobre 2016, consistant à insérer une case à cocher dédiée à la collecte des données sensibles à la fin du formulaire d’inscription sur le site, tout en contestant néanmoins l’interprétation de la CNIL sur les modalités d’application de cet article.
Elle justifie de la mise en conformité tardive d’une part, par un impératif économique, à savoir préserver la rentabilité de la société et le nombre d’inscrits et d’autre part, par un enjeu sociétal, celui de ne pas discriminer les internautes en fonction des orientations sexuelles (hétérosexuelles et homosexuelles).
La société estime par ailleurs, que le caractère exprès du consentement ne provient pas d’une case à cocher distincte mais de l’objet même du service clairement compris par l’utilisateur, à savoir la fourniture d’un service de rencontre permettant à un utilisateur de visualiser les profils des membres correspondant à l’orientation sexuelle qu’il a renseignée. Elle ajoute que l’insertion d’une case spécifique relative à ces données pourrait jeter un doute sur la fiabilité du service de rencontre et créer un sentiment de défiance s’agissant de la sécurisation du site.
Elle fait en outre valoir que la comparaison établie par le rapporteur entre l’article 8 de la loi du 6 janvier 1978 modifiée et les dispositions de l’article L. 34-5 du code des postes et des communications électroniques en matière de prospection commerciale électronique n’est pas appropriée en l’espèce. Elle indique que la prospection électronique doit s’analyser comme l’accessoire d’un contrat de service portant sur une prestation autre que la prospection commerciale alors que le recueil de données sensibles, en l’espèce l’orientation sexuelle, est indispensable à l’exécution de la prestation de site de rencontre.
Elle précise à ce titre que l’arrêt TUTO4PC (CE 11 mars 2015, req n°368624) ayant invalidé la pratique consistant à recueillir le consentement à la prospection électronique via l’acceptation des conditions générales de vente n’est pas comparable au cas de […] prévoyant un menu déroulant explicite (ex je suis un homme qui recherche une femme ), pour les besoins d’une finalité unique : la fourniture du service.
La société fait également valoir les décisions de clôtures des mises en demeure concernant d’autres sites de rencontre et estime, compte tenu des mesures mises en œuvre, que la mise en demeure dont elle a fait l’objet doit pouvoir donner lieu à une clôture.
Enfin, la société fait état des mesures organisationnelles mises en place et notamment du recrutement d’ingénieurs développeurs, afin de répondre à l’ensemble des exigences de la mise en demeure.
La formation restreinte rappelle qu’en application de l’article 8 de la loi du 6 janvier 1978 modifiée, la collecte et le traitement des données à caractère personnel dites sensibles que sont, notamment, les données relatives à la vie sexuelle des personnes, est interdit sauf si les personnes concernées ont donné leur consentement exprès. Ce consentement doit être libre, informé et spécifique.
Constitutif d’un régime dérogatoire à celui de l’interdiction de traiter des données sensibles, le recueil du consentement des personnes et son caractère exprès en la matière, doivent faire l’objet d’une interprétation stricte.
Tout d’abord, la formation restreinte considère que le consentement est exprès dès lors que la personne concernée est en mesure de manifester par une action positive, son assentiment au traitement de ses données sensibles, attestant ainsi que son consentement est donné en toute connaissance de cause. En effet, afin de consentir, la personne concernée doit être pleinement éclairée sur le caractère sensible des données qu’elle renseigne, notamment en ce que celles-ci peuvent révéler son appartenance à une communauté ou permettre qu’elles fassent l’objet d’un profilage.
La formation restreinte estime ainsi que l’existence d’une case à cocher dédiée à l’expression du consentement à la collecte et au traitement des données sensibles, apposée à l’endroit de cette collecte, et de l’information spécifique délivrée sur le caractère sensible des données, répondent à l’exigence d’un consentement exprès.
En l’espèce, elle considère qu’en recueillant le consentement des personnes par le biais d’une seule et unique case à cocher relative à trois informations distinctes (la majorité, l’acceptation des CGU et l’acceptation du traitement des données relatives à l’orientation sexuelle) diluant ainsi l’information portant sur les données relatives à l’orientation sexuelle parmi d’autres, la société n’a pas recueilli leur consentement exprès.
Ainsi, la société n’a pas pris toutes les mesures nécessaires dans le délai imparti par la mise en demeure pour recueillir un tel consentement alors même qu’elle a obtenu un délai supplémentaire pour s’y conformer et a fait l’objet d’un accompagnement important et continu de la part de la Commission dans sa démarche de conformité.
La formation restreinte souligne que les exigences liées au recueil du consentement des données sensibles lui avaient clairement été indiquées dans le courrier du 18 avril 2016 susvisé, la société ayant été invitée par la Présidente de la CNIL à recueillir le consentement des personnes à la collecte et au traitement de leurs données sensibles par l’intermédiaire d’une case à cocher distincte .
La formation restreinte note que si la société s’est conformée aux exigences de la mise en demeure, notamment en annonçant un calendrier d’action dans le cadre de l’instruction du dossier, lequel serait de nature à faire état de sa conformité ; elle rappelle néanmoins que cette mise en conformité au jour de la séance est sans incidence sur la caractérisation du manquement, ce dernier se cristallisant à l’expiration du délai prorogé de la mise en demeure, c'est-à-dire à la fin du mois de janvier 2016.
Enfin, la formation restreinte rappelle que le fait, pour la personne concernée, de renseigner spontanément les données relatives à son orientation sexuelle, ne saurait être considéré comme un consentement exprès dès lors que la personne n’a pas nécessairement conscience du caractère sensible de ces données et des conséquences possibles de leur divulgation.
La formation restreinte considère en conséquence que la société n’a pas respecté les termes de la décision la mettant en demeure de respecter les dispositions de l’article 8° de la loi du 6 janvier 1978 modifiée dans le délai qui lui était imparti.
Sur la sanction et la publicité
La formation restreinte considère que le manquement à l’article 8 de la loi du 6 janvier 1978 modifiée a persisté au-delà du délai imparti par la mise en demeure de la Présidente de la Commission et justifie que soit prononcée une sanction d’un montant de 10.000 € à l’encontre de la société. En outre, elle estime les faits d’une particulière gravité au regard de la nature des données traitées et du volume de personnes concernées par le traitement en cause, à savoir au moins […] comptes d’abonnés actifs et au plus […] comptes en bases de données.
Compte tenu de la gravité du manquement commis par la société, ainsi que de la nécessité de sensibiliser les internautes et les responsables de traitements quant à leurs droits et obligations respectifs en la matière, la formation restreinte décide de rendre publique sa décision.
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide :
de prononcer à l’encontre de la société X une sanction pécuniaire d’un montant de 10.000 € ;
de rendre publique sa délibération, qui sera anonymisée à l’expiration d’un délai d’un an à compter de sa publication.
Le Président
Jean-François CARREZ
Délibération de la formation restreinte n° 2016-406 du 15 décembre 2016 prononçant une sanction pécuniaire à l'encontre de la société X
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Jean-François CARREZ, Président, M. Alexandre LINDEN, Vice-président, M. Maurice RONAI, Mme Dominique CASTERA et Mme MITJAVILLE, membres ;
Vu la Convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 45 et suivants ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi
n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la décision n° 2014-298C du 24 octobre 2014 de la Présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification de tout traitement de données à caractère personnel mis en œuvre dans le cadre de la gestion et de l’exploitation du site internet […] et des applications mobiles associées ;
Vu la décision n° 2015-059 du 24 juin 2015 de la Présidente de la Commission nationale de l’Informatique et des libertés mettant en demeure la société X ;
Vu la délibération du bureau de la Commission nationale de l’informatique et des libertés
n° 2015-250 du 15 juillet 2015 décidant de rendre publique la mise en demeure n° 2015-059 du 24 juin 2015 prise à l’encontre de la société X ;
Vu la décision de la Présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte, en date du 30 août 2016 ;
Vu le rapport de M. Éric PERES, commissaire rapporteur, du 23 septembre 2016 ;
Vu les observations écrites versées par la société X le 20 octobre 2016 ainsi que les observations orales formulées lors de la séance de la formation restreinte ;
Vu les autres pièces du dossier ;
Etaient présents, lors de la séance de la formation restreinte du 3 novembre 2016 :
Monsieur Éric PERES, commissaire, entendu en son rapport ;