AgentPublic/cnil huggingface dataset:
le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent une protection des données à caractère personnel, notamment lorsque la personne concernée est un enfant . 
Il était reproché à la société de ne pas recueillir valablement le consentement des personnes pour les traitements de personnalisation de la publicité. Il était également considéré que la société ne pouvait se prévaloir d’un intérêt légitime pour ces mêmes traitements.
En défense, la société précise qu’elle se fonde uniquement sur le consentement pour les traitements de personnalisation de la publicité.
L’article 4 (11) du Règlement susvisé précise ce que l’on entend par consentement : toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l'objet d'un traitement .
L’article 7 de ce même texte prévoit les conditions qui lui sont applicables :
 1. Dans les cas où le traitement repose sur le consentement, le responsable du traitement est en mesure de démontrer que la personne concernée a donné son consentement au traitement de données à caractère personnel la concernant.
2. Si le consentement de la personne concernée est donné dans le cadre d'une déclaration écrite qui concerne également d'autres questions, la demande de consentement est présentée sous une forme qui la distingue clairement de ces autres questions, sous une forme compréhensible et aisément accessible, et formulée en des termes clairs et simples. Aucune partie de cette déclaration qui constitue une violation du présent règlement n'est contraignante.
3. La personne concernée a le droit de retirer son consentement à tout moment. Le retrait du consentement ne compromet pas la licéité du traitement fondé sur le consentement effectué avant ce retrait. La personne concernée en est informée avant de donner son consentement. Il est aussi simple de retirer que de donner son consentement.
4. Au moment de déterminer si le consentement est donné librement, il y a lieu de tenir le plus grand compte de la question de savoir, entre autres, si l'exécution d'un contrat, y compris la fourniture d'un service, est subordonnée. 
En premier lieu, la société affirme que le consentement des utilisateurs est éclairé.
Elle estime que des informations simples et claires sont présentées à l’utilisateur lors de la création d’un compte et lui permettent d’avoir connaissance de la manière dont la société utilise les données à des fins de personnalisation de la publicité. La société fait notamment référence au résumé intitulé Règles de confidentialité et conditions d’utilisation , aux sections dédiées à la personnalisation des annonces contenues dans les Règles de confidentialité ainsi qu’au message d’information additionnelle intitulé Personnalisation de la publicité apparaissant dans les options de paramétrage de création du compte.
En second lieu, la société affirme que le consentement des utilisateurs est spécifique et univoque.
Elle fait notamment valoir que lors du paramétrage du compte, l’utilisateur a la possibilité de faire un choix quant à l’affichage de la personnalisation de la publicité. Elle estime que cette possibilité lui permet d’exprimer son consentement sur l’utilisation de ses données indépendamment des autres choix qu’il peut exprimer s’agissant des autres finalités relatives aux traitements associés au compte x.
Elle considère par ailleurs que les modalités de recueil du consentement à des fins de personnalisation des annonces qu’elle met en place sont conformes aux recommandations de la CNIL du 5 décembre 2013 en matière de cookies. Elle précise notamment que sont disponibles des informations succinctes sur la personnalisation des annonces suivies par un bouton "j'accepte" (les Règles de confidentialité et les Conditions d’utilisation), précédé par un bouton "plus d'options" qui donne aux utilisateurs la possibilité de désactiver plusieurs opérations de traitement, y compris à des fins de personnalisation des annonces.
Elle soutient également que la solution admise dans la mise en demeure publique de la présidente de la CNIL n° MED-x permet à l’utilisateur de consentir à l’ensemble des finalités via un bouton tout accepter .
Enfin, elle estime qu’un consentement explicite pour le traitement de données à des fins de personnalisation de la publicité, au sens du a) du 2 de l’article 9 du RGPD, ne pourrait être exigé dès lors qu’il ne s’agit pas de données sensibles.
En ce qui concerne le caractère éclairé
Au préalable, la formation restreinte précise que ce caractère éclairé doit être examiné à la lumière des développements précédents concernant le défaut de transparence et d’information des utilisateurs lors de la création de leur compte. Elle considère en effet que les manquements précédemment identifiés ont nécessairement une incidence sur l’information délivrée aux utilisateurs pour assurer le caractère éclairé du consentement.
La formation restreinte indique que les lignes directrices du CEPD du 10 avril 2018 sur le consentement au sens du Règlement 2016/679 (WP250) précisent : le responsable du traitement doit s’assurer que le consentement est fourni sur la base d’informations qui permettent aux personnes concernées d’identifier facilement qui est le responsable des données et de comprendre ce à quoi elles consentent. [Il] doit clairement décrire la finalité du traitement des données pour lequel le consentement est sollicité .
Ces lignes directrices précisent également que : Pour que le consentement soit éclairé, il est nécessaire d’informer la personne concernée de certains éléments cruciaux pour opérer un choix. [..] Au moins les informations suivantes sont nécessaires afin d’obtenir un consentement valable :
l’identité du responsable du traitement,
la finalité de chacune des opérations de traitement pour lesquelles le consentement est sollicité,
les (types de) données collectées et utilisées,
l’existence du droit de retirer son consentement,
des informations concernant l’utilisation des données pour la prise de décision automatisée [..] et
des informations sur les risques éventuels liés à la transmission des données en raison de l’absence de décision d’adéquation et de garanties appropriées […] .
Comme elle a pu le relever au titre du manquement aux obligations de transparence et d’information, la formation restreinte considère que l’information sur les traitements de personnalisation de la publicité est excessivement disséminée dans des documents distincts et qu’elle n’est, à ce titre, pas aisément accessible. A cet égard, la formation restreinte renvoie aux développements précédents sur les multiples actions qui doivent être faites par un utilisateur qui souhaite prendre connaissance des informations disponibles sur les traitements liés à la personnalisation de la publicité.
En outre, comme cela a également été relevé au titre du manquement aux obligations de transparence, l’information fournie n’est pas suffisamment claire et compréhensible en ce qu’il est difficile pour un utilisateur d’avoir une appréhension globale des traitements dont il peut faire l’objet et de leur portée.
A titre d’illustration, l’information diffusée dans la rubrique Personnalisation des annonces , accessible depuis le document Règles de confidentialité et conditions d’utilisation via le bouton Plus d’options , contient la mention suivante : x peut vous présenter des annonces en fonction de votre activité au sein de services x (dans la recherche ou sur x par exemple, ainsi que sur les sites Web et les applications partenaires de x) . La formation restreinte relève qu’il n’est pas possible de prendre connaissance, par exemple par le biais de liens cliquables, des services, sites et application de x auxquels la société fait référence. Dès lors, l’utilisateur n’est pas en mesure de comprendre les traitements de personnalisation de la publicité dont ils font l’objet, ainsi que leur portée, alors même que ces traitements impliquent pourtant une pluralité de services (par exemple : […]) et le traitement de très nombreuses données à caractère personnel. Les utilisateurs ne sont pas en mesure d’avoir une juste perception de la nature et du volume des données qui sont collectées.
Au vu de ces éléments, la formation restreinte considère que le consentement des utilisateurs pour les traitements de personnalisation de la publicité n’est pas suffisamment éclairé.
S’agissant du caractère spécifique et univoque du consentement
Le considérant 32 du Règlement prévoit que : Le consentement doit être donné par un acte positif clair par lequel la personne concernée manifeste de façon libre, spécifique, éclairée et univoque son accord au traitement des données à caractère personnel la concernant […]. Il ne saurait dès lors y avoir de consentement en cas de silence, de cases cochées par défaut ou d’inactivité .
Le considérant 43 du RGPD précise que : Le consentement est présumé ne pas avoir été donné librement si un consentement distinct ne peut pas être donné à différentes opérations de traitement des données à caractère personnel bien que cela soit approprié dans le cas d’espèce .
Les lignes directrices du CEPD sur le consentement susvisées précisent que : Afin de se conformer au caractère spécifique du consentement, le responsable du traitement doit garantir : […] (ii) le caractère détaillé des demandes de consentement […] Cela signifie qu’un responsable du traitement qui sollicite le consentement pour diverses finalités spécifiques devrait prévoir un consentement distinct pour chaque finalité afin que les utilisateurs puissent donner un consentement spécifique à des finalités spécifiques .
En l’espèce, la formation restreinte relève que lorsque l’utilisateur crée un compte, il a la possibilité de modifier certains des paramètres associés au compte. Pour accéder à ces paramètres, l’utilisateur doit cliquer sur le bouton plus d’options , présent avant le bouton Créer un compte . La formation restreinte relève par ailleurs que les paramètres de personnalisation du compte, qui contiennent le choix en matière d’affichage des annonces personnalisées, sont pré-cochés par défaut, ce qui traduit, sauf action contraire, l’accord de l’utilisateur au traitement de ses données pour les finalités mentionnées (ex. historique des recherches x, affichage des annonces personnalisées etc.). L’utilisateur a la possibilité de décocher ces paramètres s’il ne souhaite pas que ces traitements soient mis en œuvre.
La formation restreinte observe que, au moment de la création du compte, si l’utilisateur ne clique pas sur le bouton plus d’options afin de paramétrer son compte, il doit cocher les cases j’accepte les conditions d’utilisation de x et j’accepte que mes informations soient utilisées telles que décrit ci-dessus et détaillées dans les règles de confidentialité . Par la suite, il doit appuyer sur le bouton Créer un compte . Une fenêtre surgissante apparaît, intitulée Simple confirmation qui contient le texte suivant Ce compte x est configuré pour inclure des fonctionnalités de personnalisation (telles que les recommandations et les annonces personnalisées ), qui sont basées sur les informations enregistrées dans votre compte. Pour modifier vos paramètres de personnalisation et les informations enregistrées dans votre compte, sélectionnez Plus d’options .
S’il ne clique pas sur Plus d’options , l’utilisateur doit alors sélectionner le bouton Confirmer pour finaliser la création du compte.
Au vu de ce qui précède, la formation restreinte relève que si l’utilisateur a la possibilité de modifier la configuration des paramètres de son compte préalablement à sa création, une action positive de sa part est nécessaire pour accéder aux possibilités de paramétrage du compte. Ainsi, l’utilisateur peut tout à fait créer son compte, et accepter les traitements qui y sont liés, notamment les traitements de personnalisation de la publicité, sans cliquer sur Plus d’options . Par conséquent, le consentement de l’utilisateur n’est, dans ce cas de figure, pas valablement recueilli dans la mesure où il n’est pas donné par le biais d’un acte positif par lequel la personne consent spécifiquement et distinctement au traitement de ses données à des fins de personnalisation de la publicité par rapport aux autres finalités de traitement.
La formation restreinte considère en outre que les actions par lesquelles l’utilisateur procède à la création de son compte - en cochant les cases j’accepte les conditions d’utilisation de x et j’accepte que mes informations soient utilisées telles que décrit ci-dessus et détaillées dans les règles de confidentialité , puis en sélectionnant Créer un compte - ne sauraient être considérées comme l’expression d’un consentement valable. Le caractère spécifique du consentement n’est pas respecté puisque l’utilisateur, par ces actions, accepte en bloc l’ensemble des traitements de données à caractère personnel mis en œuvre par la société, y compris à ceux de personnalisation de la publicité.
Par ailleurs, la formation restreinte relève que lorsqu’il clique sur Plus d’options pour accéder à la configuration des paramètres de son compte, ceux-ci, et notamment celui relatif à l’affichage des annonces personnalisées, sont tous pré-cochés par défaut. Aussi, la possibilité laissée aux utilisateurs de paramétrer leur compte ne se traduit pas non plus, dans ce cas de figure, par un acte positif ayant pour objet de recueillir le consentement, mais par une action ayant pour objet de permettre l’opposition au traitement.
La formation restreinte relève enfin que cette analyse est corroborée par les lignes directrices du G29 sur le consentement qui précisent que : Un responsable du traitement doit également être conscient que le consentement ne peut être obtenu moyennant la même action que lorsqu’une personne concernée accepte un contrat ou les conditions générales d’un service. [..]Le RGPD n’autorise pas les responsables du traitement à proposer des cases cochées par défaut ou des options de refus nécessitant une action de la personne concernée pour signaler son refus (par exemple des cases de refus ) .
La formation restreinte observe à ce titre que, si certains parcours utilisateurs peuvent inclure une fonctionnalité permettant à l’utilisateur de consentir de manière mutualisée au traitement de ses données pour différentes finalités proches, cette facilité ne peut être considérée comme conforme que si les différentes finalités de traitement lui ont été présentées de manière distincte au préalable et qu’il a été en mesure de donner un consentement spécifique pour chaque finalité, par un acte positif clair, les cases n’étant pas pré-cochées. Pour que ce type de parcours utilisateurs puisse être considéré comme conforme, la possibilité de donner un consentement spécifique pour chaque finalité doit être offerte aux personnes avant la possibilité de tout accepter , ou de tout refuser , et ce sans qu’elles aient à faire d’action particulière pour y accéder, comme cliquer sur plus d’options . Au vu de ce qui précède, la formation retreinte considère que ce type de parcours utilisateurs offre des garanties différentes de celles proposées en l’espèce, ce parcours permettant à l’utilisateur de consentir spécifiquement et distinctement au traitement de ses données pour une finalité déterminée, par un acte positif clair, et cette possibilité lui étant offerte immédiatement et préalablement à la fonctionnalité tout accepter .
Dès lors, en l’espèce, en étant autorisés et masqués par défaut , les traitements de personnalisation de la publicité ne sauraient être considérés comme ayant été acceptés par l’utilisateur par un acte positif spécifique et univoque.
En deuxième lieu, si la société soutient que les modalités de recueil du consentement à des fins de personnalisation des annonces qu’elle met en place sont conformes aux recommandations de la CNIL du 5 décembre 2013 en matière de cookies, la formation restreinte rappelle que les règles spécifiquement applicables en matière de cookies liés aux opérations relatives à la publicité ciblée sont fixées par les dispositions distinctes de l’article 32-II de la loi informatique et libertés, résultant de la transposition de la directive ePrivacy du 12 juillet 2002 (modifiée par la directive 2009/136/CE). L’invocation de la recommandation du 5 décembre 2013 est par suite, et en tout état de cause, inopérante.
En troisième lieu, contrairement à ce que soutient x, les exigences posées en matière de recueil du consentement ne visent pas à instaurer un régime de consentement qui serait plus protecteur que celui imposé par le RGPD et qui serait, à tort, défini au regard des critères imposés pour le recueil du consentement applicable en matière de traitement des données personnelles dites sensibles .
La formation restreinte relève que les modalités d’expression du consentement ont été précisées et définies par l’article 4 (11) du Règlement, qui indique que l’on entend par consentement : toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l'objet d'un traitement .
Ces mêmes modalités d’expression du consentement s’appliquent de la même manière, que le consentement soit recueilli, au titre de l’article 6 du RGPD, pour la mise en œuvre d’un traitement pour une finalité spécifique, ou qu’il soit recueilli, en application de l’article 9 du RGPD, pour lever l’interdiction de principe posée au traitement de données à caractère personnel dites sensibles .
Par conséquent, pour pouvoir être considéré comme valable, le consentement recueilli doit être une manifestation volonté spécifique, éclairée et univoque ce qui, comme la formation restreinte l’a relevé précédemment, n’est pas le cas en l’espèce.
Au vu de l’ensemble de ces éléments, la formation restreinte considère que le consentement sur lequel se fonde la société pour les traitements de personnalisation de la publicité n’est pas valablement recueilli.
III.Sur la sanction et la publicité
L’article 45-III 7° de la loi du 6 janvier 1978 dispose : Lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 précité ou de la présente loi, le président de la Commission nationale de l’informatique et des libertés peut également, le cas échéant après lui avoir adressé l’avertissement prévu au I du présent article ou, le cas échéant en complément d’une mise en demeure prévue au II, saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l’une ou de plusieurs des mesures suivantes:[…] : 7° À l’exception des cas où le traitement est mis en œuvre par l’État, une amende administrative ne pouvant excéder 10 millions d’euros ou, s’agissant d’une entreprise, 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l’article 83 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 précité, ces plafonds sont portés, respectivement, à 20 millions d’euros et 4 % dudit chiffre d’affaires. La formation restreinte prend en compte, dans la détermination du montant de l’amende, les critères précisés au même article 83. 
La société considère qu’une amende administrative d’un montant de 50 millions d’euros est disproportionnée.
Elle relève qu’une mise en demeure lui aurait permis d’entreprendre une démarche de mise en conformité et qu’il n’apparait pas que le prononcé direct d’une amende administrative constitue la mesure correctrice la plus adéquate.
Elle considère en outre que les critères fixés à l’article 83 du RGPD n’ont pas tous été pris en compte dans l’évaluation de l’amende proposée. Sur ce point, elle fait notamment référence à l’impossibilité de prendre des mesures correctrices en raison de l’absence de mise en demeure préalable.
La société fait ensuite valoir le faible nombre d’utilisateurs concernés par les manquements et indique que sur 76 000 personnes qui configurent un appareil sous le système d’exploitation x par jour, seul 5 000 personnes créent un compte.
Tout d’abord, la formation restreinte relève qu’en vertu de l’article 45 susvisé issu de la loi n° 2018-493 du 20 juin 2018, le Président de la CNIL dispose de l’opportunité des poursuites et peut donc choisir, en fonction des circonstances de l’espèce, les suites à apporter à des investigations en clôturant un dossier, en prononçant une mise en demeure ou en saisissant la formation restreinte en vue du prononcé d’une ou plusieurs mesures correctrices, sans qu’il appartienne au demeurant à cette dernière de se prononcer sur l’orientation choisie par le Président. La formation restreinte, ainsi saisie, est alors pleinement compétente pour se prononcer sur la matérialité et la qualification des faits, puis pour apprécier si les manquements qu’elle aurait caractérisés justifient, dans son principe même, le prononcé de l’une des mesures correctrices mentionnées au III de l’article 45 de la loi du 6 janvier 1978 et, enfin, pour se prononcer sur le montant d’une éventuelle amende.
En outre, la formation restreinte rappelle que si une administration, dans le cas où une décision est prise au regard d’un ensemble de critères prévus par un texte, doit tenir compte de l'ensemble de ces critères, elle n’est pas tenue dans la motivation de sa décision de se prononcer sur chacun d’entre eux mais peut se limiter à mentionner ceux qu'elle estime pertinents et les éléments de fait correspondants.
Dans le cas d’espèce, la formation restreinte estime que les faits et manquements précités justifient que soit prononcée une amende administrative à l’encontre de la société pour les motifs suivants.
En premier lieu, la formation restreinte tient à souligner la nature particulière des manquements relevés à la licéité du traitement et aux obligations de transparence et d’information. En effet, l’article 6 du RGPD - qui définit limitativement les cas de licéité d’un traitement - est une disposition centrale de la protection des données personnelles en ce qu’elle ne permet la mise en œuvre d’un traitement que si l’une des six conditions listées est remplie. Les obligations de transparence et d’information sont également essentielles en ce qu’elles conditionnent l’exercice des droits des personnes et leur permettent donc de garder le contrôle sur leurs données. A cet égard, tant l’article 6 que les articles 12 et 13 figurent parmi les dispositions dont la méconnaissance est la plus sévèrement sanctionnée au 5. de l’article 83 du RGPD.
La formation restreinte considère ainsi que les obligations prévues en termes de transparence et de bases juridiques constituent des garanties fondamentales permettant aux personnes de garder la maîtrise de leurs données. La méconnaissance de ces obligations essentielles apparaît dès lors particulièrement grave, du fait de leur seule nature.