AgentPublic/cnil huggingface dataset:
La délégation a été informée que la société procède à la collecte des données de géolocalisation des personnes à l’aide du traceur SDK intégré dans les applications mobiles téléchargées par les mobinautes. Par la suite, les données de géolocalisation sont croisées avec les points d’intérêts afin de qualifier le profil des personnes et de procéder à des opérations de démarchage publicitaire auprès d’elles.
 
 
 
Or, une telle combinaison des données à caractère personnel des mobinautes, à des fins publicitaires, ne peut intervenir que si la société peut se prévaloir de l’une des conditions prévues à l’article 7 de la loi n° 78-17 du 6 janvier 1978 modifiée, qui prévoit que :
 
 
 
 Un traitement de données à caractère personnel doit avoir reçu le consentement de la personne concernée ou satisfaire à l'une des conditions suivantes :
 
1° Le respect d'une obligation légale incombant au responsable du traitement ;
 
2° La sauvegarde de la vie de la personne concernée ;
 
3° L'exécution d'une mission de service public dont est investi le responsable ou le destinataire du traitement ;
 
4° L'exécution, soit d'un contrat auquel la personne concernée est partie, soit de mesures précontractuelles prises à la demande de celle-ci ;
 
5° La réalisation de l'intérêt légitime poursuivi par le responsable du traitement ou par le destinataire, sous réserve de ne pas méconnaître l'intérêt ou les droits et libertés fondamentaux de la personne concernée.
Le traitement des données de géolocalisation aux fins de marketing ciblé est, selon son responsable la société X, fondé sur le consentement des personnes concernées. En effet, la société a déclaré à la CNIL, lors du contrôle du 7 juin 2017 et dans son courriel du 17 novembre suivant, qu’il est prévu dans les contrats passés avec ses éditeurs d’applications mobiles partenaires que ces derniers sont tenus d’obtenir le consentement préalable des utilisateurs à l’accès aux données de géolocalisation stockées sur leur smartphone.
 
 
 
En vertu de l’article 2, point h) de la directive, le consentement s’entend comme  toute manifestation de volonté, libre, spécifique et informée par laquelle la personne concernée accepte que des données à caractère personnel la concernant fassent l’objet d’un traitement .
 
 
 
À cet égard, la notion de consentement, reprise dans le règlement général sur la protection des données, n’est pas moins exigeante dès lors qu’il est prévu que celui-ci doit être donné  par un acte positif clair par lequel la personne concernée manifeste de façon libre, spécifique, éclairée et univoque son accord au traitement des données à caractère personnel la concernant .
 
 
 
Or, il ressort des contrôles et de l’analyse des pièces transmises à la Commission qu’aucun mécanisme n’est proposé aux utilisateurs ayant téléchargé les applications des partenaires de la société pour consentir préalablement aux traitements opérés par cette dernière.
En premier lieu, le consentement doit être informé.
 
 
 
Le groupe de travail de l’article 29 ( G29 ), dans son avis 15/2011 du 13 juillet 2011 sur la définition du consentement, a indiqué que  
Ceci implique que toutes les informations nécessaires doivent être données au moment de la demande du consentement et que ces informations doivent couvrir tous les aspects de fond du traitement que le consentement est censé légitimer .
 
 
 
En l’espèce, la délégation a constaté qu’au moment de l’installation des applications contrôlées, les personnes ne sont pas informées de la collecte de leurs données de géolocalisation via le SDK à des fins de profilage des utilisateurs et de ciblage publicitaire.
 
 
 
La société a informé la CNIL, par courrier électronique du 17 novembre 2017, qu’elle oblige contractuellement les partenaires à  informer explicitement leurs utilisateurs sur le fait que des données de géolocalisation sont utilisées à des fins de marketing et partagées avec des tiers .
La société indique recommander également à ses partenaires, dans ses contrats, d’insérer une bannière d’information sur l’application, lors de la première connexion des utilisateurs, comportant la mention suivante :  Dans l’application nous collectons des données relatives à votre expérience, votre navigation et votre géolocalisation. Ces données nous permettent d’optimiser votre expérience utilisateur, d’analyser notre trafic et de vous proposer des contenus plus pertinents. Certaines informations sont partagées avec nos partenaires. En poursuivant votre navigation dans l’application, vous acceptez la collecte de ces données . La société précise que  Cette bannière serait par ailleurs associée à une case à cocher (ou un j’accepte ) qui fermerait alors la fenêtre de la bannière .
 
 
 
La société s’est également engagée à ce que la charte vie privée de ses partenaires indique explicitement que les données de géolocalisation sont collectées à des fins marketing et partagées avec des tiers.
 
 
 
La seule recommandation de la société X effectuée auprès de ses partenaires, relative à la mise en place d’une bannière lors de la première connexion des utilisateurs, ne permet pas d’assurer une information systématique des personnes de la collecte de leurs données de géolocalisation à des fins de publicité ciblée.
Il apparaît, en outre, que l’information délivrée au sein des chartes vie privée des applications mobiles est tardive dès lors qu’elle n’est accessible aux personnes qu’après l’installation de l’application et du SDK, alors que leur identifiant publicitaire et leurs données de localisation sont déjà collectées par la société X via le SDK.
 
 
 
Au surplus, la délégation a été informée, lors du contrôle du 2 octobre 2017, que lorsqu’un nouveau partenariat est conclu avec une société, le SDK est intégré au smartphone du mobinaute à l’occasion d’une mise à jour de l’application si celle-ci est déjà téléchargée. Or, à cette occasion les nouvelles conditions générales d’utilisation ou politiques de vie privée des applications ne sont pas directement portées à la connaissance des mobinautes.
 
 
 
Dès lors, les personnes ayant téléchargé l’application mobile avant la mise en place du SDK ne sont pas directement informées de l’intégration de celui-ci à l’application et de la finalité poursuivie par ce traitement.
 
 
 
Par conséquent, les personnes ne sont pas dûment informées de la collecte de leurs données de géolocalisation par la société X, via l’installation d’un SDK, à des fins de publicité ciblée.
 
 
 
En deuxième lieu, les utilisateurs des applications ne fournissent pas un consentement libre au traitement réalisé par la société.
Dans son avis n°15/2011 du 13 juillet 2011, le G29 considère que  Le consentement ne peut être valable que si la personne concernée est véritablement en mesure d’exercer un choix et s’il n’y a pas de risque de tromperie […] Si les conséquences du consentement sapent la liberté de choix des personnes, le consentement n’est pas libre .
 
 
 
En l’espèce, la délégation a été informée que les applications des éditeurs partenaires utilisant le SDK n’existent pas sans celui-ci et que par conséquent, les personnes ne peuvent télécharger les applications mobiles sans télécharger le SDK. Ce traceur est donc indissociable des applications partenaires.
 
 
 
En conséquence, les utilisateurs des applications mobiles ne sont pas libres de consentir au traitement des données de géolocalisation réalisé par la société X, à partir des données transmises par les applications, l’utilisation de ces dernières impliquant automatiquement la transmission de données à ladite société.
 
 
 
En troisième lieu, il apparaît que les personnes ne fournissent pas un consentement spécifique au traitement mis en œuvre par la société X réalisé à des fins de profilage des utilisateurs et de ciblage publicitaire.
 
 
 
Dans un avis 15/2011 du 13 juillet 2011, le G29 a rappelé que : Pour être valable, le consentement doit être spécifique. En d’autres termes, un consentement général, sans préciser la finalité exacte du traitement, n’est pas acceptable.
Pour être spécifique, le consentement doit être intelligible. Il doit mentionner, de façon claire et précise, l’étendue et les conséquences du traitement des données […] Le consentement doit être donné sur les différents aspects, clairement définis, du traitement. […] En effet, il ne saurait être considéré comme couvrant toutes les finalités légitimes poursuivies par le responsable du traitement .
 
 
 
La délégation a constaté à l’occasion du contrôle sur place que les personnes sont amenées à valider l’autorisation de collecter leurs données de géolocalisation uniquement pour l’utilisation de l’application mobile téléchargée. À titre d’exemple, s’agissant de l’application mobile […], au moment de l’installation de celle-ci, il est demandé à la personne de donner son accord de la manière suivante :  Autoriser […] à accéder à votre position ? Information pour toujours : pour profiter pleinement de l’application et vous proposer des contenus au plus proche de vos attentes. 
 
 
 
Les utilisateurs des applications mobiles partenaires ne consentent donc pas spécifiquement au traitement de leurs données de géolocalisation à des fins de profilage et de ciblage publicitaire.
 
 
 
Il résulte de tout ce qui précède que le consentement des personnes n’est pas valablement recueilli.
 
 
 
Les faits précités sont donc constitutifs d’un manquement aux dispositions de l’article 7 de la loi du 6 janvier 1978 modifiée.
Un manquement à l’obligation de définir et de respecter une durée de conservation proportionnée à la finalité du traitement 
 
La délégation a été informée que le SDK installé dans les applications mobiles collecte les données de géolocalisation des utilisateurs environ toutes les cinq minutes. Ces données sont enregistrées dans les serveurs de la société et sont conservées durant treize mois puis purgées.
 
 
 
Une fois croisées avec les POIs recensés, les données de géolocalisation pertinentes sont ensuite intégrées dans la base de données Matcher2 et sont utilisées par la suite à des fins publicitaires. La délégation a constaté que les identifiants publicitaires des smartphones sur lesquels la publicité ciblée est effectuée sont conservés pendant treize mois au sein de la base de données Matcher2 .
 
 
 
Tout d’abord, la société a informé la délégation que lorsque le téléphone d’une personne est situé en dehors de la situation géographique des POIs recensés, aucune donnée n’est intégrée dans la base de données Matcher2 .
 
 
 
Dès lors, la conservation par la société de toutes les données de géolocalisation des utilisateurs au-delà du temps nécessaire à la réalisation de l’opération de correspondance entre les données collectées et les zones géographiques POIs - au sein desquelles la société effectue des campagnes marketing - est excessive au regard de la finalité de ciblage publicitaire du traitement.
En outre, dans sa déclaration normale n° 1873686, la société avait indiqué conserver les données de localisation des personnes  pendant la durée de la relation contractuelle .
 
 
 
La durée déclarée à la CNIL n’est pas pertinente dès lors qu’aucun contrat n’est conclu entre la société et les utilisateurs des applications mobiles au sein desquelles les SDK sont intégrés.
 
Puis, lors du contrôle du 2 octobre 2017, la société a justifié la durée de conservation de treize mois des données de géolocalisation par la nature du service rendu par certains de ses partenaires et notamment ceux travaillant dans le secteur du voyage qui ont besoin de connaître les lieux visités par les personnes pendant cette durée.
 
La société ne peut justifier la conservation de l’intégralité des données de géolocalisation des personnes, durant treize mois, au motif que certains de ses partenaires pourraient avoir besoin de connaître les lieux visités par les mobinautes sur cette période. La conservation de telles informations constitue un risque d’atteinte à la vie privée des personnes concernées.
En effet, la Commission considère que l’utilisation des dispositifs de géolocalisation est particulièrement intrusive au regard des libertés individuelles, dans la mesure où ils permettent de suivre de manière permanente et en temps réel des personnes, aussi bien dans l’espace public que dans des lieux privés. Ainsi, la CNIL estime que les données de géolocalisation ne peuvent être conservées que pour une durée strictement proportionnée à la finalité du traitement qui a justifié cette géolocalisation.
 
Dès lors, quand bien même les conditions seraient réunies pour considérer que le traitement mis en œuvre dispose d’une base légale, la durée de conservation de treize mois de telles données est excessive au regard de sa finalité de profilage et de ciblage publicitaire.
 
Ces faits constituent un manquement aux dispositions de l’article 6-5° de la loi du 6 janvier 1978 modifiée qui prévoit que les données (…) sont conservées pendant une durée qui n’excède pas celle nécessaire aux finalités pour lesquelles elles sont collectées et traitées .
 
 
 
Il est en outre rappelé qu’en application des articles 226-20 et 226-24 du code pénal combinés, le fait pour une personne morale, de conserver des données à caractère personnel au-delà de la durée prévue par la loi ou le règlement, par la demande d’autorisation ou d’avis, ou par la déclaration préalable adressée à la Commission nationale de l’informatique et des libertés, est puni d’une peine d’amende pouvant atteindre 1.500.000 €.
Un manquement à l’obligation d’assurer la sécurité et la confidentialité des données gérées par un sous-traitant
 
 
 
La délégation a été informée que les données des utilisateurs des applications mobiles collectées sont intégrées dans la base de données Matcher2 hébergée via les services de Google Cloud.
 
 
 
La délégation a cependant constaté que le contrat conclu entre la société X, anciennement XX, et la société Google ne prévoit pas de clauses relatives aux obligations du sous-traitant en matière de sécurité et de confidentialité des données à caractère personnel, précisant notamment que le sous-traitant ne peut agir que sur instruction du responsable de traitement.
 
 
 
Ces faits constituent un manquement aux dispositions de l’article 35 de la loi n° 78-17 du 6 janvier 1978 qui dispose notamment que Le sous-traitant doit présenter des garanties suffisantes pour assurer la mise en œuvre des mesures de sécurité et de confidentialité mentionnées à l’article 34. Cette exigence ne décharge pas le responsable du traitement de son obligation de veiller au respect de ces mesures. Le contrat liant le sous-traitant au responsable du traitement comporte l’indication des obligations incombant au sous-traitant en matière de protection de la sécurité et de la confidentialité des données et prévoit que le sous-traitant ne peut agir que sur instruction du responsable du traitement .
En conséquence, la société X, sise […] est mise en demeure sous un délai de trois (3) mois à compter de la notification de la présente décision et sous réserve des mesures qu’elle aurait déjà pu adopter, de :
 
 
 
· ne pas procéder sans base légale au traitement des données de géolocalisation des personnes à des fins de ciblage publicitaire, en particulier recueillir, de manière effective, le consentement préalable
des
utilisateurs des applications éditées par les partenaires de la société X au traitement de leurs données par cette dernière (par exemple par la mise en place d’un pop-up contenant une information et une case à cocher dédiées) et à défaut, supprimer lesdites données collectées ;
 
 
 
· sous réserve de base légale du traitement, définir et mettre en œuvre une politique de 
durée de conservation des données raisonnable, en particulier :
 
- supprimer les données de géolocalisation des utilisateurs collectées en dehors des zones de POIs une fois la correspondance entre les données de géolocalisation et les zones de POIS effectuée ;
 
- définir une durée de conservation des données de géolocalisation proportionnée à la finalité du traitement et procéder à la purge ou, le cas échéant, à l’anonymisation des données anciennes ;
 
 
 
· insérer une clause au sein du contrat conclu avec la société Google précisant les obligations incombant à cette dernière en matière de sécurité et de confidentialité des données ;
· justifier auprès de la CNIL que l’ensemble des demandes précitées a bien été respecté, et ce dans le délai imparti.
 
 
 
À l’issue de ce délai, si la société X s’est conformée à la présente mise en demeure, il sera considéré que la présente procédure est close et un courrier lui sera adressé en ce sens.
 
 
 
À l’inverse, si la société X ne s’est pas conformée à la présente mise en demeure, un rapporteur sera désigné qui pourra demander à la formation restreinte de prononcer l’une des sanctions prévues par l’article 45 de la loi du 6 janvier 1978 modifiée.
 
 
 
 
 
 
 
 
La Présidente
 
 
 
 
 
 
 
 
 
 
 
 
 
Isabelle FALQUE-PIERROTIN
 
 
 
[1] Il s’agit d’une annonce publicitaire qui s’affiche en plein écran et qui vient recouvrir la page visitée, dès la page d’accueil ou comme transition entre deux pages.
[2] Personne qui navigue sur Internet à partir d’un appareil mobile.
[3] Kit de développement logiciel.
Le bureau de la Commission nationale de l’informatique et des libertés, réuni le 5 juillet 2018 sous la présidence de Mme Isabelle FALQUE-PIERROTIN ;
 
Etaient aussi présents Mme Marie-France MAZARS, Vice-présidente déléguée, et M. Eric PERES, Vice-président ;
 
Vu la convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
 
Vu la directive n° 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 45 et 46 ;
 
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
 
Vu la délibération n° 2013-175 du 4 juillet 2013 fixant le règlement intérieur de la Commission nationale de l’informatique et des libertés ;
 
Vu la décision n°MED-2018-022 du 25 juin 2018 de la Présidente de la Commission mettant en demeure la société X.
 
 
 
A adopté la délibération suivante :
Par décision du 25 juin 2018, la Présidente de la Commission a, sur le fondement de l’article 45 de la loi du 6 janvier 1978 modifiée, mis en demeure la société X, sise […], de faire cesser sous un délai de trois mois les manquements constatés à cette même loi, notamment celui relatif à l’obligation de recueillir le consentement des personnes au traitement de leurs données de géolocalisation à des fins de profilage et ciblage publicitaire.
 
 
En application de l’article 45-II dernier alinéa de la loi du 6 janvier 1978 modifiée, la Présidente de la CNIL a régulièrement convoqué le bureau de la Commission aux fins de statuer sur sa demande de rendre publique sa décision.
 
 
Le bureau a été réuni à cette fin le 5 juillet 2018.
 
 
 
Après en avoir délibéré, le bureau estime que la publicité de la décision de mise en demeure se justifie par la gravité des manquements.
 
 
 
La société X s’appuie sur une technologie dénommée SDK afin de collecter des données à caractère personnel via les smartphones et d’effectuer des campagnes publicitaires mobiles auprès des personnes.
 
 
 
À l’occasion de ses investigations, la CNIL a notamment constaté que la société collecte, sans recueillir le consentement des personnes, leurs données de géolocalisation. Un tel traitement constitue un risque particulier au regard de la vie privée en ce qu’il est révélateur des déplacements des personnes et de leurs habitudes de vie.
Le bureau souligne que la publicité se justifie également par le nombre massif de personnes susceptibles d’être impactées par le traitement mis en œuvre par la société X alors que le SDK est intégré à des dizaines d’applications mobiles et qu’une partie importante de la population est en possession d’un smartphone. À cet égard, le bureau relève que le SDK installé sur les applications collecte les données de géolocalisation des personnes environ toutes les cinq minutes et qu’il a été constaté par la délégation de la CNIL que, sur une journée, 1 635 402 identifiants publicitaires avaient été collectées par la société.
 
 
 
Le bureau estime par ailleurs que la publicité de la mise en demeure se fonde sur la nécessité de mettre les personnes concernées en mesure de garder le contrôle de leurs données. Cet objectif ne saurait être atteint qu’en assurant le plus haut niveau de transparence sur la collecte des données, notamment de géolocalisation, et la finalité du traitement mis en œuvre par la société X.
Enfin, le bureau souhaite sensibiliser les professionnels du secteur sur cette difficulté alors que la collecte de données à caractère personnel à des fins de profilage et de ciblage publicitaire, notamment à partir des lieux fréquentés par les personnes, connaît une forte croissance. Le bureau note, en effet, que l’utilisation du SDK s’inscrit dans un écosystème faisant intervenir plusieurs acteurs, à savoir les éditeurs d’applications mobiles et les clients annonceurs, qu’il est essentiel d’alerter sur les enjeux de la protection des données.
 
 
 
En conséquence, le bureau de la Commission nationale de l’informatique et des libertés décide de rendre publique la décision n°MED-2018-022 de la Présidente de la CNIL mettant en demeure la société X.
 
 
 
Le bureau rappelle que cette mise en demeure ne revêt pas le caractère d’une sanction. A ce titre, aucune suite ne sera donnée à la procédure si l’organisme concerné se conforme en tout point aux exigences de la mise en demeure dans le délai imparti. Si tel est le cas, celle-ci fera l’objet d’une clôture qui sera également rendue publique.
 
 
 
Enfin, tant la décision de mise en demeure précitée que la présente délibération seront anonymisées à l’expiration d’un délai de deux ans à compter de leur publication.
 
 
 
 
 
La Présidente
 
 
 
 
 
 
 
 
 
 Isabelle FALQUE-PIERROTIN
La Présidente de la Commission nationale de l'informatique et des libertés,
 
 
 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
 
 
 
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, abrogée par le règlement (UE) 2016/679 du Parlement européen et du conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;
 
 
 
Vu le code pénal ;
 
 
 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 45 ;
 
 
 
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
 
 
 
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;
 
 
 
Vu la décision n° 2017-212C du 6 septembre 2017 de la Présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements de données à caractère personnel mis en œuvre par la société X ou pour son compte ;