AgentPublic/cnil huggingface dataset:
L’ensemble de ces faits constitue un manquement aux obligations découlant du 5° de l’article 6 de la loi du 6 janvier 1978 modifiée qui prévoit que les données à caractère personnel sont conservées pendant une durée qui n’excède pas celle nécessaire aux finalités pour lesquelles elles sont collectées et traitées .
Il est en outre rappelé qu’en application des articles 226-24 et 226-20 du code pénal combinés, le fait pour une personne morale, de conserver des données à caractère personnel au-delà de la durée prévue par la loi ou le règlement, par la demande d’autorisation ou d’avis, ou par la déclaration préalable adressée à la Commission nationale de l’informatique et des libertés, est puni d’une peine d’amende pouvant atteindre 1.500.000 €. 
Un manquement à l’obligation d’assurer la sécurité et la confidentialité des données 
(...) 
Ces faits constituent un manquement à l’article 34 de la loi n° 78-17 du 6 janvier 1978 disposant que Le responsable du traitement est tenu de prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher qu’elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès .
Il est en outre rappelé qu’en application des articles 226-24 et 226-17 du code pénal combinés, le fait pour une personne morale de procéder ou de faire procéder à un traitement de données à caractère personnel sans mettre en œuvre les mesures prescrites à l’article 34 de la loi n° 78-17 du 6 janvier 1978 précitée est puni d’une peine d’amende pouvant atteindre 1.500.000 €.
En conséquence, la société X, sise […], est mise en demeure, sous un délai de trois (3) mois à compter de la notification de la présente décision, pour l’ensemble de ses magasins et sites internet, et sous réserve des mesures qu’elle aurait déjà pu adopter, de :
• prendre les mesures nécessaires pour éviter que des commentaires excessifs ne soient enregistrés dans les bases de données de la société, et en particulier mettre en place un système de détection automatique de ces derniers et attirer l’attention des salariés sur la nécessité de n’enregistrer que des données adéquates et pertinentes ; 
• obtenir l’accord préalable des personnes concernées à l’inscription d’informations sur leur équipement terminal (cookies) et à l’accès à celles-ci (lecture des cookies). A cet égard, il appartient à la société de conditionner cette inscription et cet accès à une action positive préalable des personnes concernées ; 
• ne pas déposer de cookies dont la durée de validité est supérieure à treize mois après leur dépôt sur l’équipement terminal de la personne concernée ;
• prendre toute mesure de sécurité, pour l’ensemble des traitements de données à caractère personnel qu’elle met en œuvre, permettant de préserver la sécurité des données et d’empêcher que des tiers non autorisés y aient accès, notamment : (...) 
• justifier auprès de la CNIL que l’ensemble des demandes précitées a bien été respecté, et ce dans le délai imparti. 
À l’issue de ce délai, si la société X s’est conformée à la présente mise en demeure, il sera considéré que la procédure est close et un courrier lui sera adressé en ce sens.
À l’inverse, s’il est constaté que la société X ne s’est pas conformée à la présente mise en demeure, un rapporteur sera désigné qui pourra demander à la formation restreinte de la Commission de prononcer l’une des sanctions prévues par l’article 45 de la loi du 6 janvier 1978 modifiée. 
La Présidente, 
Isabelle FALQUE-PIERROTIN
Le bureau de la Commission nationale de l’informatique et des libertés, réuni le 9 juillet 2015 sous la présidence de Mme Isabelle FALQUE-PIERROTIN ;
Etaient aussi présents Mme Marie-France MAZARS, Vice-présidente déléguée, et M. Eric PERES, Vice-président ;
Vu la convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive n° 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 45 et 46 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 fixant le règlement intérieur de la Commission nationale de l’informatique et des libertés ;
Vu la décision n°2015-063 du 26 juin 2015 de la Présidente de la Commission mettant en demeure la société X. 
A adopté la délibération suivante :
Par décision du 26 juin 2015, la Présidente de la Commission a, sur le fondement de l’article 45 de la loi du 6 janvier 1978 modifiée, mis en demeure la société X, sise […], de faire cesser sous un délai de trois mois les manquements constatés à cette même loi. 
En application de l’article 46 deuxième alinéa de la loi du 6 janvier 1978 modifiée, la Présidente de la CNIL a régulièrement convoqué le bureau de la Commission aux fins de statuer sur sa demande de rendre publique sa décision. 
Le bureau a été réuni à cette fin le 9 juillet 2015. 
Après en avoir délibéré, le bureau estime que la publicité de la décision de mise en demeure se justifie par la nature des manquements constatés, s’agissant notamment des commentaires excessifs et inappropriés enregistrés par la société sur ses clients, et par le nombre de personnes concernées.
Le bureau considère que la publicité de la mise en demeure a vocation à appeler l’attention de l’organisme en cause sur les manquements constatés et lui permettre de se mettre en conformité dans les délais impartis par la mise en demeure. 
Par ailleurs, le bureau souhaite sensibiliser les responsables de traitement sur la question de l’enregistrement de commentaires excessifs dont la Commission est régulièrement saisie. 
En conséquence, le bureau de la Commission nationale de l’informatique et des libertés décide de rendre publique la décision n°2015-063 de la Présidente de la CNIL mettant en demeure la société X.
Le bureau rappelle que cette mise en demeure ne revêt pas le caractère d’une sanction. A ce titre, aucune suite ne sera donnée à la procédure si l’organisme concerné se conforme en tout point aux exigences de la mise en demeure dans le délai imparti. Si tel est le cas, celle-ci fera l’objet d’une clôture qui sera également rendue publique. 
La Présidente,
Isabelle FALQUE-PIERROTIN
La Présidente de la Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code pénal ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 45 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;
Vu la décision n° 2014-279C du 9 octobre 2014 de la présidente de la Commission nationale de l’informatique et des libertés de procéder à une mission de contrôle auprès de la société X ;
Vu les décisions n° 2014-282C et 2014-283C du 9 octobre 2014 de la présidente de la Commission nationale de l’informatique et des libertés de procéder respectivement à une mission de vérification auprès des traitements mis en œuvre dans le cadre de la gestion et de l’exploitation des sites internet YY et ZZ, et éventuelle application mobile ;
Vu les procès-verbaux de contrôle sur place n° 2014-279/1, 2014-282/1 et 2014-283/1 du 23 octobre 2014 ;
Vu le procès-verbal de constatations en ligne n° 2014-279/CEL1 du 20 mai 2015 ;
Vu le procès-verbal d’audition n° 2014-279/2 du 18 juin 2015.
I- Constate les faits suivants
La société X (ci-après la société ), sise […], a pour activité principale l’exploitation et la gestion d’une trentaine de sites de rencontre et notamment des sites web YY et ZZ (ci-après les sites ). Elle est composée d’un gérant et de deux salariés. Elle a dégagé un chiffre d’affaires de (…) euros sur l’exercice 2013.
En application des décisions n° 2014-279C, 2014-282C et 2014-283C du 9 octobre 2014 de la Présidente de la Commission nationale de l’informatique et des libertés (ci-après la CNIL ou la Commission ), une délégation de la CNIL a procédé à une mission de contrôle sur place le 23 octobre 2014 auprès de la société X dans ses locaux situés […]. Des constats complémentaires ont été effectués en ligne le 20 mai 2015 s’agissant en particulier des cookies sur les sites. Enfin, le gérant de la société X a été auditionné dans les locaux de la CNIL le 18 juin 2015. La délégation s’est attachée à examiner la conformité des traitements de données à caractère personnel mis en œuvre par la société, ou pour son compte, aux dispositions de la loi n° 78-17 du 6 janvier 1978 modifiée, et en particulier ceux relatifs à la gestion et à l’exploitation des sites web YY et ZZ.
La société a effectué, auprès de la CNIL, un engagement de conformité à la norme simplifiée n° 48 le 16 décembre 2009 relative à la gestion de clients et de prospects, enregistrée sous le n° 1402580.
La délégation a été informée que la société gère une trentaine de sites, hébergés sur la même infrastructure, spécialisés dans les rencontres par affinités, à partir d’une seule base de données. La société gère ainsi des sites permettant à des personnes partageant notamment les mêmes opinions religieuses ou politiques, hobbies et passions de se rencontrer. Le site YY permet à des personnes de se rencontrer en fonction de leurs préférences culinaires ; le site ZZ met en relation des personnes qui ont les mêmes opinions politiques. 
Au total, la délégation a recensé sur l’ensemble des sites gérés par la société plus de (…) de comptes inscrits. Parmi ces comptes, seuls (…) sont des comptes actifs. Sur les deux sites contrôlés, YY et ZZ la délégation a recensé (…) comptes inscrits dont (…) comptes actifs.
La délégation a été informée que la société fait appel à différents prestataires de services pour la technologie du chat, l’hébergement des données, le monitoring serveur et les transactions bancaires. (…)
La délégation a été informée que les sources de revenus de la société sont l’affiliation sur Internet (…) et les abonnements souscrits par les utilisateurs des sites qui leur permettent d’accéder à l’ensemble des fonctionnalités des sites. La délégation a recensé environ (…) abonnés payants sur l’ensemble des sites gérés par la société dont (…) sur les deux sites susvisés. Ces abonnements sont de durées variables (1 mois, 2 mois, 3 mois, 6 mois ou 12 mois), payables en une seule fois et reconductibles automatiquement à moins que l’utilisateur n’ait désactivé cette option.
La délégation a constaté que le formulaire d’inscription sur le site YY nécessite de renseigner des données obligatoires (sexe, date de naissance, adresse email, pseudo et un mot de passe) ; le site ZZ propose un formulaire simplifié qui nécessite de renseigner de manière obligatoire certaines données (sexe, date de naissance et adresse email). Pour ces deux sites, la délégation a constaté que le profil peut ensuite être complété par des données facultatives, dont certaines sont des données relatives à l’origine ethnique des personnes.
La délégation a été informée que la société peut refuser ou supprimer des profils des utilisateurs qui ne respectent pas les conditions d’utilisation des sites ou qui présentent un risque avéré de fraude. Le modérateur peut également décider d’interdire de manière temporaire l’accès aux sites à un utilisateur à partir de (…)
La délégation a par ailleurs constaté lors du contrôle sur place et confirmé par un contrôle en ligne, le dépôt de cookies soumis au consentement dès l’arrivée sur la page d’accueil des deux sites précités. Elle a également constaté qu’aucun bandeau d’information relatif aux cookies n’apparait sur la page d’accueil de ces sites.
II- Sur les manquements constatés au regard des dispositions de la loi du 6 janvier 1978 modifiée
Un manquement à l’obligation d’accomplir les formalités préalables à la mise en œuvre du traitement
La délégation a constaté, dans le cadre de la modération, que la société peut procéder à l’exclusion d’un utilisateur qui ne respecte pas les conditions d’utilisation des sites ou si son profil est considéré comme suspect. L’utilisateur qui fait l’objet d’une exclusion (…) en est informé via l’envoi d’un courrier électronique.
La délégation a recensé (…) comptes ayant fait l’objet d’une exclusion, depuis plus d’un an, sur les sites web YY et ZZ et (…) comptes sur l’ensemble des sites gérés par la société X.
(…)
Ce traitement automatisé de données à caractère personnel est susceptible d’exclure des personnes du bénéfice d’un contrat ou d’une prestation. Il relève donc du régime de l’autorisation en matière de formalités préalables auprès de la CNIL. Or, la société n’a procédé à aucune demande d’autorisation auprès de la Commission concernant un tel traitement.
Ces faits constituent un manquement aux dispositions du 4° de l’article 25-I de la loi du 6 janvier 1978 modifiée qui dispose que, sont mis en œuvre après autorisation de la CNIL, Les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire .
Il est rappelé qu’en application des articles 226-16 alinéa 1er et 226-24 du code pénal combinés, le fait pour une personne morale, y compris par négligence, de procéder ou de faire procéder à des traitements de données à caractère personnel sans qu’aient été respectées les formalités préalables à leur mise en œuvre prévues par la loi est puni d’une peine d’amende pouvant atteindre 1.500.000 €.
Un manquement à l’obligation de recueillir le consentement de la personne concernée pour le traitement de données sensibles relatives aux origines ethniques ou raciales des personnes
La délégation a constaté que, lors de l’inscription sur les sites YY et ZZ, les membres peuvent, via un menu déroulant, préciser leur origine : européenne , africaine , hispanique , indiennes , asiatique , métisse .
L’article 8 de la loi du 6 janvier 1978 modifiée prévoit notamment qu’il est interdit de collecter ou de traiter des données à caractère personnel qui sont relatives aux origines raciales ou ethniques des personnes, sauf dans les cas prévus au II de cet article, notamment en cas de consentement exprès des personnes concernées.
Or, le consentement ne peut être exprès que s’il est donné en toute connaissance de cause, c’est-à-dire après la délivrance d’une information adéquate sur l’usage qui sera fait des données personnelles.
En l’espèce, la délégation a constaté que le site YY contient l’information suivante sur la page intitulée Politique de confidentialité : La saisie de ces informations […] dites sensibles, est susceptible sous votre responsabilité, de révéler votre origine ethnique, vos opinions politiques, philosophiques et/ou religieuses, votre nationalité et/vos orientations sexuelles. La saisie de ces données étant facultative, en choisissant de remplir les champs de saisie facultatifs, vous acceptez de rendre ces informations publiques et de fait, formulez votre consentement explicite au traitement de ces données par notre Service de rencontre et nos partenaires via votre profil . Si l’information délivrée est complète sur la nature des données collectées, aucun moyen technique à l’endroit de la collecte n’est mis à la disposition de la personne auprès de laquelle les données sensibles sont collectées et traitées afin de s’assurer qu’elle y consent de manière exprès.
Or, la Commission considère que le fait, pour la personne concernée, de renseigner ses données sensibles, ne saurait être considéré comme un consentement exprès. En effet, l’utilisateur doit pouvoir marquer son assentiment en cochant une case dédiée à l’approbation de l’usage de ses données personnelles sensibles auquel il consent, ce qui n’est pas le cas en l’espèce.
Ces faits constituent un manquement à l’article 8 de la loi du 6 janvier 1978 modifiée susmentionné.
Il est rappelé enfin qu’en application des articles 226-19 et 226-24 du code pénal combinés, le fait pour une personne morale, hors les cas prévus par la loi, de mettre ou de conserver en mémoire informatisée, sans le consentement exprès de l’intéressé, des données à caractère personnel qui, directement ou indirectement, font apparaître les origines raciales ou ethniques, les opinions politiques, philosophiques ou religieuses, ou les appartenances syndicales des personnes, ou qui sont relatives à la santé ou à l’orientation sexuelle de celles-ci, est puni d’une peine d’amende pouvant atteindre 1.500.000€.
Un manquement à l’obligation d’informer les personnes
La délégation a constaté que les formulaires d’inscription sur les sites YY et ZZ et les pages permettant à l’utilisateur de compléter son profil imposent de renseigner des données à caractère personnel.
Or, si un lien sur ces formulaires d’inscription renvoie vers les conditions générales d’utilisation et la politique de confidentialité des sites, aucune mention d’information conformément à l’article 32 de la loi du 6 janvier 1978 modifiée ne figure directement sur celui-ci.
Ces faits constituent un manquement à l’article 32-I de la loi n° 78-17 du 6 janvier 1978 modifiée qui dispose que :
 I.-La personne auprès de laquelle sont recueillies des données à caractère personnel la concernant est informée, sauf si elle l’a été au préalable, par le responsable du traitement ou son représentant :
1° De l’identité du responsable du traitement et, le cas échéant, de celle de son représentant ;
2° De la finalité poursuivie par le traitement auquel les données sont destinées ;
3° Du caractère obligatoire ou facultatif des réponses ;
4° Des conséquences éventuelles, à son égard, d’un défaut de réponse ;
5° Des destinataires ou catégories de destinataires des données ;
6° Des droits qu’elle tient des dispositions de la section 2 du présent chapitre ;
7° Le cas échéant, des transferts de données à caractère personnel envisagés à destination d’un Etat non membre de la Communauté européenne.
Lorsque de telles données sont recueillies par voie de questionnaires, ceux-ci doivent porter mention des prescriptions figurant aux 1°, 2°, 3° et 6°. 
Il est également rappelé qu’en application des articles 131-41 et R. 625-10 du code pénal combinés, le fait pour la personne morale responsable d’un traitement de ne pas informer, dans les conditions prévues à l’article 32 de la loi du 6 janvier 1978 modifiée, la personne auprès de laquelle sont recueillies des données à caractère personnel la concernant est puni d’une peine d’amende pouvant atteindre 7.500 €.
Un manquement à l’obligation de définir et respecter une durée de conservation des données proportionnées à la finalité du traitement
La société a effectué, auprès de la CNIL, un engagement de conformité à la norme simplifiée n° 48 relative à la gestion des clients et prospects, le 16 décembre 2009 (n° 1402580). La société s’est en conséquence engagée à respecter la durée de conservation définie par celle-ci, à savoir, la durée strictement nécessaire à la gestion de la relation commerciale . Cette norme prévoit également la possibilité de conserver certaines données en archives : les données permettant d’établir la preuve d’un droit ou d’un contrat, ou, conservées au titre du respect d’une obligation légale peuvent être archivées conformément aux dispositions en vigueur (notamment celles prévues par le code de commerce, le code civil et le code de la consommation) .
La délégation a par ailleurs constaté que la société informe les utilisateurs dans les conditions d’utilisation des sites que La résiliation de votre inscription prend effet automatiquement. L’interruption de celui-ci engendre la suppression complète de votre compte ainsi que de vos messages et de toutes les données personnelles vous concernant en notre possession .
En l’espèce, la délégation a été informée, au cours du contrôle sur place, qu’aucune purge de la base de données de production (base active) n’est mise en place et qu’aucune durée de conservation relative aux données collectées sur les sites n’a été définie. Il a été précisé, en particulier lors de l’audition du gérant, qu’en cas de désinscription par un utilisateur, le champ date_desinscription de la ligne associée au profil de l’utilisateur, est renseigné en base de données pour signaler la suppression du compte et la date de la suppression ; en cas de suppression à l’initiative de la société, le champ date_banned est renseigné. Les données associées à ces comptes sont conservées sans limite en base active, sans aucun archivage, à l’exception des photographies qui sont supprimées.
La délégation a ainsi recensé, à partir de la table users_param , contenue dans la base de données liée aux sites de la société X, plus de (…) de comptes inscrits. Parmi ces comptes, et en particulier, s’agissant des sites YY et ZZ, la délégation a recensé (…) comptes inscrits au total dont (…) comptes ont fait l’objet d’une désinscription volontaire et dont (…) comptes ont été désactivés par la modération. Ces comptes sont conservés en base de production sans limite. La délégation a ainsi constaté que la plus ancienne demande de désinscription, et donc de suppression, remonte au 2 janvier 2010 ; la plus ancienne exclusion remontant au 20 mai 2010.
La société a encore précisé qu’en base de données, un certain nombre de tables contiennent des données personnelles qui correspondent à des fonctionnalités abandonnées et qu’elles sont conservées sans limitation de durée. De plus, la délégation a été informée et a constaté que les éléments modérés et supprimés sont stockés en base de données de production afin de conserver la preuve de l’action de modération. Aucune règle d’effacement n’a été définie concernant ces informations.
Enfin, la délégation a été informée que sur les deux sites contrôlés, la table users_param contient (…) comptes actifs, soit (…) comptes considérés comme inactifs par la société, sans qu’aucune action de purge n’ait été effectuée.
Une telle conservation apparaît excessive au regard de la finalité du traitement. En effet, la société s’est engagée à ne conserver en archives que les seules données dont elle a besoin pour établir la preuve d’un droit ou d’un contrat ou pour lui permettre de respecter une obligation légale, et ce pour les durées spécifiquement prévues par les textes applicables, ce qui n’est pas le cas en l’espèce.
Il en résulte que la société n’a ni défini ni mis en œuvre de durées de conservation des données caractère personnel qu’elle collecte qui soient proportionnées aux finalités de la collecte et du traitement.