AgentPublic/cnil huggingface dataset:
En application de la décision n° 2015-091C du 17 mars 2015 de la Présidente de la Commission nationale de l’informatique et des libertés (ci-après CNIL ou la Commission ), une délégation de la CNIL a procédé à une mission de contrôle sur place les 8 et 9 avril 2015 et à un contrôle sur pièces le 30 juillet 2015. Puis, par décision n° 2015-401C du 14 décembre 2015, la Présidente de la CNIL a décidé de faire procéder également à des constatations en ligne le 15 décembre 2015. Ces missions ont eu pour objet de procéder à la vérification du respect par la société X des dispositions de la loi n°78-17 du 6 janvier 1978 modifiée en ce qui concerne les règles de confidentialité applicables aux services à destination des internautes français et ont également porté sur les données collectées au moyen du site […] et des témoins de connexion (ci-après cookies ) relevant de ce domaine.
Sur l’applicabilité de la loi française
Il est tout d’abord rappelé que, conformément à son article 4, la directive 95/46/CE s’applique lorsque le traitement est effectué dans le cadre des activités d’un établissement du responsable du traitement sur le territoire de l’Etat membre . L’article 5 de la loi du 6 janvier 1978 modifiée prévoit quant à lui que la loi française est applicable dès lors que le responsable de traitement est établi sur le territoire français.
La loi française est en l’espèce applicable dans la mesure où Z est un établissement  au sens de la directive 95/46/CE, telle qu’interprétée par la Cour de Justice de l’Union Européenne (CJUE) dans son arrêt Weltimmo du 1er octobre 2015. En outre, il apparaît que le traitement, mis en œuvre dans le cadre du réseau social […], est effectué dans le cadre des activités  de cet établissement au sens de l’arrêt Costeja de la CJUE en date du 13 mai 2014.
Par ailleurs, au regard des constats effectués et des pièces fournies lors des différents contrôles, il apparaît que tant X que Y participent à la détermination des finalités et des moyens du traitement (ci-après la société ). Ces deux sociétés doivent, par conséquent, être considérées comme conjointement responsables de traitement, comme le permet la directive 95/46/CE. En effet, l’article 2(d) de ladite directive définit le responsable du traitement comme la personne physique ou morale, l'autorité publique, le service ou tout autre organisme qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement de données à caractère personnel .
En tout état de cause, la circonstance que l’un des responsables de traitement, en l’espèce la société Y, soit situé sur le territoire de l’Union européenne est indifférente en matière de contrôle et de sanction. En effet, l’article 48 de la loi du 6 janvier 1978 modifiée prévoit que la CNIL peut exercer ces pouvoirs à l’égard des traitements dont les opérations sont mises en œuvre, en tout ou partie, sur le territoire national, y compris lorsque le responsable du traitement est établi sur le territoire d’un autre État membre de la Communauté européenne .
Sur les faits
La délégation a été informée et a constaté que la société collecte des données, relatives à la navigation sur des sites tiers, des internautes qui ne disposent pas de compte sur le site […].
La délégation a également été informée que la société transfère des données personnelles des internautes vers les Etats-Unis sur la base du Safe harbor.
Elle a constaté que la société collecte des données relatives à l’orientation sexuelle, aux opinions religieuses et aux opinions politiques des inscrits. La société peut également collecter des dossiers médicaux fournis par les inscrits en tant que justificatifs d'identité.
Par ailleurs, la délégation a été informée que la société procède sans base légale à la combinaison de nombreuses données relatives aux inscrits et qu’elle a mis en place sans autorisation de la CNIL des traitements ayant pour finalité de lutter contre la fraude et visant à exclure des inscrits de son site.
Elle a également constaté que le formulaire d’inscription au site ne contient aucune mention d’information relative au traitement de données à caractère personnel et que les internautes ne sont pas informés notamment de la finalité du transfert de données vers les Etats-Unis.
En outre, la délégation a constaté que 13 cookies ont été déposés sur son terminal.
La délégation a également constaté que la société conserve toutes les adresses IP utilisées par les inscrits pour se connecter à leurs comptes.
Enfin, la délégation a constaté que les internautes qui souhaitent s’inscrire sur le site peuvent choisir un mot de passe de 6 caractères.
II- Sur les manquements constatés au regard des dispositions de la loi du 6 janvier 1978 modifiée
Un manquement à l’obligation de disposer d’une base légale pour les traitements mis en œuvre
La délégation a été informée que la société procède à la combinaison de multiples informations aux fins d’affichage de publicités ciblées sur les comptes des inscrits et de mesure d’efficacité des campagnes publicitaires. En effet, la Politique d’utilisation des données de la société prévoit que Nous nous servons des informations à notre disposition pour améliorer nos systèmes de publicité et de mesure, ce qui nous permet de vous présenter des publicités pertinentes, à travers nos services ou en dehors, et d’évaluer l’efficacité et la portée de nos publicités et de nos services .
Le lien hypertexte Informations à notre disposition renvoie vers le haut de la Politique d’utilisation des données dont la première rubrique énumère les types de données collectées par la société. En réponse au questionnaire, la société a confirmé qu’elle pouvait utiliser toutes ces données pour adresser des publicités ciblées (réponse à la question 11).
Ainsi, il apparaît que la société procède notamment à la combinaison des données suivantes :
les données fournies par les inscrits lors de la création de leur compte sur le site ;
les données relatives à l’activité des inscrits sur le site (contenus partagés ou consultés par exemple), quel que soit le terminal utilisé par ces derniers ;
les données relatives aux appareils (ordinateur, téléphone et autres) utilisés par les inscrits (système d’exploitation, coordonnées GPS, type de navigateur, numéro de téléphone mobile par exemple) ;
les données provenant de sites tiers et applications intégrant notamment des boutons […] ou Se connecter (sites consultés et applications utilisées par exemple) ;
les données provenant de partenaires tiers (partenaires avec qui la société a collaboré pour offrir un service ou annonceurs avec lesquels les inscrits ont interagi) (adresse électronique par exemple) ;
les données provenant des sociétés qui appartiennent ou qui sont exploitées par la société ([…], par exemple).
 
Or, une telle combinaison à des fins publicitaires des données personnelles des inscrits ne peut intervenir que si la société peut se prévaloir d’une des conditions prévues à l’article 7 de la loi n° 78-17 du 6 janvier 1978 modifiée, qui prévoit que : un traitement de données à caractère personnel doit avoir reçu le consentement de la personne concernée ou satisfaire à l'une des conditions suivantes :
1° Le respect d'une obligation légale incombant au responsable du traitement ;
2° La sauvegarde de la vie de la personne concernée ;
3° L'exécution d'une mission de service public dont est investi le responsable ou le destinataire du traitement ;
4° L'exécution, soit d'un contrat auquel la personne concernée est partie, soit de mesures précontractuelles prises à la demande de celle-ci ;
5° La réalisation de l'intérêt légitime poursuivi par le responsable du traitement ou par le destinataire, sous réserve de ne pas méconnaître l'intérêt ou les droits et libertés fondamentaux de la personne concernée.
En l’espèce, faute de recueil du consentement des inscrits préalablement à la combinaison de leurs données, la mise en œuvre de ce traitement ne peut avoir pour base légale que l’une des conditions énumérées par les 1° à 5° de l’article précité.
Compte tenu de la nature des traitements en cause, les 1°, 2° et 3° de l’article 7 ne peuvent constituer la base légale de la combinaison des données par la société. Le traitement issu de cette combinaison ne peut donc être examiné qu’au regard du 4° et du 5° de l’article 7.
S’agissant du 4° de l’article 7, il n’existe pas, en l’espèce, de cadre contractuel gouvernant la combinaison de données à des fins d’affichage de publicités ciblées. Bien que mentionnée par la société dans sa Politique d’utilisation des données, la combinaison de données ne constitue pas l’objet principal du contrat auquel souscrit l’internaute lorsqu’il s’inscrit sur le site. La possibilité que se ménage la société de combiner les données doit être considérée comme accessoire audit contrat, fixé unilatéralement par la société.
A cet égard, il convient de noter que les inscrits ont la possibilité de s’opposer à l’affichage de publicités ciblées dans les paramètres de leur compte (rubrique Publicités ), cet affichage étant directement issu de la combinaison de données. Les inscrits peuvent donc demander à ce que cette fonctionnalité ne leur soit pas appliquée, ce qui confirme que la combinaison de données n’est ni l’objet, ni une clause substantielle du contrat.
En conséquence, la société ne peut fonder la combinaison de données à des fins publicitaires sur l’exécution de la seule Politique d’utilisation des données, de sorte que le 4° de l’article 7 précité ne peut trouver à s’appliquer en l’espèce.
En ce qui concerne le 5° de l’article 7, l’intérêt légitime du responsable de traitement doit être apprécié d’une part, en tant que tel, et d’autre part, au regard de l’intérêt de la personne concernée et de ses droits et libertés fondamentaux, auquel l’intérêt légitime du responsable de traitement ne saurait porter atteinte.
D’une part, pour apprécier la légitimité de l’intérêt du responsable de traitement, il convient notamment de tenir compte de la proportionnalité du traitement de données au regard de ses finalités. En l’espèce, la société affirme que la combinaison de l’ensemble des données lui permet d’ améliorer [ses] systèmes de publicité et de mesure . 
D’autre part, force est de constater qu’une telle combinaison de données est, par sa nature même, son ampleur et son caractère massif, susceptible de méconnaître l’intérêt des utilisateurs inscrits et leur droit fondamental au respect de leur vie privée.
Dès lors, l’intérêt économique et commercial de la société ne peut être regardé comme légitime que si le responsable de traitement met à disposition des utilisateurs inscrits des moyens adéquats leur permettant de contrôler la combinaison de leurs données et d’exercer effectivement le droit qui leur est reconnu par l’article 38 de la loi du 6 janvier 1978 modifiée.
En l’état, la société n’offre pas d’outils permettant aux inscrits de faire obstacle à la combinaison de leurs données personnelles, et, par suite, d’opposer leur intérêt privé ou le respect de leurs droits et libertés à l’intérêt du responsable de traitement. En effet, dans les paramètres de compte, rubrique Publicités , la société propose uniquement aux inscrits des outils leur permettant de s’opposer à l’affichage de publicités ciblées :
pour les publicités basées sur les préférences des inscrits : la société précise que Nous voulons vous montrer des publicités que vous jugez intéressantes. C’est pourquoi nous avons créé les préférences publicitaires, un outil dans lequel vous pouvez voir, ajouter et supprimer les préférences que nous avons créées pour vous en fonction des informations de votre profil, de votre activité sur […] et des sites web et apps que vous utilisez en dehors de […] (…) Si vous supprimez toutes vos préférences, vous verrez toujours des publicités mais elles seront peut-être moins intéressantes pour vous . Si les inscrits peuvent effectivement supprimer les préférences identifiées par la société, cet outil ne leur permet pas de s’opposer à la collecte et à la combinaison de ces données à des fins publicitaires ;
pour les publicités affichées en fonction de la navigation des inscrits sur les sites web et applications : la société indique qu’ une des façons de vous présenter des publicités repose sur votre utilisation des sites webs et applications qui utilisent les technologies […]. Par exemple, si vous consultez des sites de voyage, il se peut que vous voyiez ensuite des publicités pour des hôtels sur […]
(…) Si vous désactivez les publicités en ligne basées sur les intérêts, vous verrez toujours le même nombre de publicités, mais elles seront peut-être moins pertinentes pour vous . Cet outil ne permet donc pas aux inscrits d’exercer leur droit d’opposition à la collecte et à la combinaison de leurs données à des fins publicitaires.
Il résulte de ce qui précède que la combinaison de l’ensemble des données des inscrits est dépourvue de base légale faute, soit de faire l’objet d’un encadrement contractuel adéquat, soit de respecter, dans la recherche de son intérêt légitime en tant que responsable de traitement, l’intérêt et les droits et libertés des personnes, en mettant à leur disposition des moyens leur permettant de maîtriser la combinaison des données les concernant et d’exercer leurs droits de manière effective.
Ces faits sont de nature à constituer un manquement aux dispositions de l’article 7 de la loi du 6 janvier 1978 modifiée.
Un manquement à l’obligation de veiller à l’adéquation, à la pertinence et au caractère non excessif des données
La délégation a constaté que la société peut être amenée à demander aux internautes qui se sont inscrits sur le site (ci-après les inscrits ) de fournir des justificatifs d'identité, tels qu’un dossier médical, par exemple lorsqu’ils tentent de remplacer leur nom de famille par celui d’une célébrité. Dans les Pages d’aide du site, la société invite les internautes, lorsqu’ils envoient de tels documents, à  masquer les informations personnelles qui ne sont pas nécessaires à la confirmation de votre identité (par exemple, votre numéro de carte de crédit ou de sécurité sociale) .
Bien que la société attire l’attention des inscrits sur la nécessité de procéder à ce masquage, il n’apparaît pas pertinent de demander le dossier médical des inscrits pour justifier de leur identité. En effet, un tel document comporte de nombreuses données pouvant porter atteinte à la vie privée des personnes concernées et de nombreux autres documents pourraient permettre aux inscrits de justifier de leur identité.
Ces faits constituent un manquement à l’article 6-3° de la loi du 6 janvier 1978 modifiée, qui dispose que les données collectées doivent être adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs .
Un manquement à l’obligation de recueillir le consentement des personnes concernées pour le traitement de données sensibles relatives aux opinions politiques ou religieuses, et à la vie sexuelle
La délégation a constaté qu’une fois inscrits sur le site, les internautes peuvent compléter leur profil sur la page A propos , rubrique Informations générales et coordonnées . Ils peuvent notamment préciser leur orientation sexuelle (rubrique Ajoutez qui vous intéresse : Intéressé(e) par □ Femmes □ Hommes ), leurs opinions religieuses (rubrique Ajoutez vos croyances religieuses ) et leurs opinions politiques (rubrique Ajoutez vos opinions politiques ).
Or, la délégation a relevé que la société n’a pas prévu de case à cocher pour recueillir le consentement des personnes à la collecte de ces données.
L’article 8 de la loi du 6 janvier 1978 modifiée prévoit notamment qu’il est interdit de collecter ou de traiter des données à caractère personnel qui sont relatives aux opinions politiques ou religieuses et à la vie sexuelle des personnes, sauf dans les cas prévus au II de cet article, notamment en cas de consentement exprès des personnes concernées.
Or, le consentement ne peut être exprès que s’il est donné en toute connaissance de cause, c’est-à-dire après la délivrance d’une information adéquate sur l'usage qui sera fait des données personnelles.
En l’espèce, aucun moyen technique n’est mis à la disposition des personnes lorsque les données sensibles sont collectées et traitées afin de s’assurer qu’elles y consentent de manière expresse sur la base d’une information spécifique.
La Commission considère que le fait, pour les personnes concernées, de renseigner leurs données sensibles, ne saurait être considéré comme un consentement exprès. Les utilisateurs doivent pouvoir marquer leur assentiment en cochant une case dédiée à l'approbation de l'usage de leurs données personnelles sensibles, ce qui n’est pas le cas en l’espèce.
Ces faits constituent un manquement à l’article 8 de la loi du 6 janvier 1978 modifiée susmentionné.
Il est rappelé enfin qu’en application des articles 226-19 et 226-24 du code pénal combinés, le fait pour une personne morale, hors les cas prévus par la loi, de mettre ou de conserver en mémoire informatisée, sans le consentement exprès de l'intéressé, des données à caractère personnel qui, directement ou indirectement, font apparaître les origines raciales ou ethniques, les opinions politiques, philosophiques ou religieuses, ou les appartenances syndicales des personnes, ou qui sont relatives à la santé ou à l’orientation sexuelle de celles-ci, est puni d’une peine d’amende pouvant atteindre 1.500.000 €.
Un manquement à l’obligation d’informer les personnes 
La délégation a constaté que le formulaire d’inscription au site ne contient aucune mention d’information relative au traitement de données à caractère personnel.
Or, l’article 32 de la loi du 6 janvier 1978 modifiée impose de fournir aux personnes concernées, sur le formulaire de collecte des données, des informations sur l’identité du responsable du traitement, la finalité de ce traitement, le caractère obligatoire ou facultatif des réponses, leurs droits d’accès, de rectification et, le cas échéant, d’opposition aux données les concernant.
En outre, la délégation a constaté que la Politique d’utilisation des données de la société prévoit que Les informations recueillies au sein de l’Espace Economique Européen ( EEE ) peuvent, par exemple, être transmises à d’autres pays en dehors de l’EEE aux fins décrites dans les présentes . Pour les internautes se trouvant en dehors des États-Unis, l’article 16 de la Déclaration des droits et des responsabilités précise : Vous acceptez que vos données personnelles soient transférées et traitées aux États-Unis .
Or, la délégation a constaté que les internautes ne sont pas informés de la nature des données transférées, de la finalité du transfert, des catégories de destinataires des données, et du niveau de protection offert par les pays destinataires, ce qui n’est pas conforme à l’article 91 du décret du 20 octobre 2005 modifié pris en application de la loi du 6 janvier 1978 modifiée.
En effet, cet article précise que : Les informations figurant au 7° du I de l’article 32 de la loi du 6 janvier 1978 susvisée que le responsable du traitement communique, dans les conditions prévues à l’article 90, à la personne auprès de laquelle des données à caractère personnel sont recueillies, sont les suivantes : 
1° Le ou les pays d’établissement du destinataire des données dans les cas où ce ou ces pays sont déterminés lors de la collecte des données ; 
2° La nature des données transférées ; 
3° La finalité du transfert envisagé ; 
4° La ou les catégories de destinataires des données ; 
5° Le niveau de protection offert par le ou les pays tiers : 
Si le ou les pays tiers figurent dans la liste prévue à l’article 108, il est fait mention de la décision de la Commission européenne autorisant ce transfert ; 
Si le ou les pays tiers ne satisfont pas aux conditions prévues à l’article 68 de la même loi, il est fait mention de l’exception prévue à l’article 69 de cette loi qui permet ce transfert ou de la décision de la Commission nationale de l’informatique et des libertés autorisant ce transfert .
Ces faits constituent un manquement à l’article 32 de la loi n° 78-17 du 6 janvier 1978 modifiée quant à l’obligation pour le responsable du traitement de fournir à la personne concernée, directement sur le formulaire de collecte des données, des informations sur l’identité du responsable du traitement, la finalité de ce traitement, le caractère obligatoire ou facultatif des réponses, leurs droits d’accès, de rectification et, le cas échéant, d’opposition aux données les concernant.
Il est rappelé qu’en application des articles 131-41 et R. 625-10 du code pénal combinés, le fait pour la personne morale responsable d’un traitement de ne pas informer, dans les conditions prévues à l’article 32 de la loi du 6 janvier 1978 modifiée, la personne auprès de laquelle sont recueillies des données à caractère personnel la concernant est puni d’une peine d’amende pouvant atteindre 7.500 €.
 
Un manquement à l’obligation de procéder à une collecte et à un traitement loyal des données
A l’occasion de la navigation sur la page d’un site tiers sur lequel figure un module social […] (bouton […] par exemple), la délégation a constaté que la société collecte des données relatives à la navigation des internautes qui ne sont pas inscrits sur le site […].
Pour ce faire, la société dépose un cookie (le cookie datr) sur le navigateur d’un internaute lorsque cette personne interagit directement avec le site web […] en première partie (en se rendant sur une page de […] ou en interagissant avec le domaine […]) (réponse à la question 18). En effet, la délégation a constaté que la société dépose le cookie datr sur le terminal de tout internaute qui visite une page du site […], et ce, alors même qu’il ne dispose pas d’un compte sur ce site.
La délégation a constaté que la société est alors en capacité de suivre la navigation des internautes sur les sites tiers, dès lors que ces sites contiennent un module social […]. En effet, lorsqu’un internaute non inscrit sur le site […] se rend sur une page de ce site, puis visite un site tiers contenant un module […], l’information du site consulté est remontée à la société en même temps que le cookie datr . La délégation a été informée que : en ce qui concerne les non-détenteurs de comptes, les journaux d’accès relatifs aux cookies et aux modules sociaux sont supprimées dans les dix jours (réponse à la question 27).
A cet égard, la société a précisé qu’elle n’utilise pas et n’a pas utilisé le cookie datr pour surveiller le comportement de navigation des non-détenteurs de compte à des fins de publicités ou autres. Ce cookie est en réalité utilisé à des fins essentielles de sécurité et d’intégrité et qu’il permet de (i) faire la distinction entre des demandes d’accès autorisé et des demandes d’accès non autorisé ; (ii) d’empêcher tout accès non autorisé et (iii) de comprendre le volume et la fréquence des demandes d’accès pour empêcher les personnes ou les machine de récupérer des données, d’exécuter des attaques par déni de service ou de créer de faux comptes en masse (réponse à la question 18).
Si la finalité avancée par la société peut apparaître légitime (assurer la sécurité de ses services), la collecte des données relatives à la navigation sur des sites tiers des non inscrits au site […] est réalisée sans qu’ils en soient informés. Elle permet en effet de suivre une large part de la navigation des internautes concernés, à leur insu, pendant une durée potentielle de 10 jours, alors même qu’ils n’ont visité le site […] qu’une seule fois.
Ces faits constituent un manquement au 1° de l’article 6 de la loi n° 78-17 du 6 janvier 1978 modifiée disposant que les données à caractère personnel  sont collectées et traitées de manière loyale et licite .