AgentPublic/cnil huggingface dataset:
Cette nouvelle politique de confidentialité précise, dans sa version française, qu'elle s'applique "à tous les services proposés par X et par ses filiales, y compris aux services proposés sur d'autres sites (comme par exemple [ses] services publicitaires), mais excluent les services régis par d'autres règles de confidentialité n'incorporant pas les présentes". Ainsi, ces règles sont communes à environ une soixantaine de services (ci-après "les services annexe n° 1 - liste des services") proposés par la société, lesquels sont accessibles sur différents types de terminaux de connexion (ordinateurs, téléphones mobiles, tablettes...).
La société précise dans les règles de confidentialité : "les données que nous collectons par le biais de nos services nous permettent de les fournir, les entretenir, les protéger, les améliorer, tout en développant de nouveaux services et en protégeant X ainsi que nos utilisateurs. Ces données nous permettent également de vous proposer des contenus adaptés, tels que des annonces et des résultats de recherche plus pertinents". 
En outre, la nouvelle politique indique : "les informations personnelles que vous fournissez pour l'un de nos services sont susceptibles d'être combinées avec celles issues d'autres services X (y compris des informations personnelles), par exemple pour faciliter le partage de vos informations avec des personnes que vous connaissez".
Ainsi, est-il clairement indiqué que toutes les données collectées par la société dans le cadre de ses services peuvent être combinées entre elles.
Les règles de confidentialité s'appliquent à plusieurs catégories d'utilisateurs : les personnes utilisant un service en étant authentifiées sur un compte X (ci-après "les utilisateurs authentifiés"), celles accédant à un service sans être authentifiées à un compte X (ci-après "les utilisateurs non authentifiés") et les personnes ne sollicitant pas directement un service X mais dont les données sont collectées quand elles visitent des sites Internet tiers (ci-après "les utilisateurs passifs"). Un même internaute peut, lors d'une ou de diverses navigations, revêtir les trois statuts précités de manière alternative, ces statuts n'étant pas exclusifs les uns des autres.
De plus, X est techniquement en mesure d'identifier l'internaute qui aurait successivement navigué sur Internet en tant qu'utilisateur authentifié, non authentifié et utilisateur passif.
Selon la société, les règles de confidentialité mises à jour reflètent une volonté de fournir une navigation plus intuitive et fluide aux utilisateurs des services de X.
Outre ces règles de confidentialité, la société met à disposition des utilisateurs plusieurs autres supports d'information tels que la foire aux questions , le centre d'aide , des règles de confidentialité propres à certains services (ex : [...] ) et des fenêtres d'information contextuelle sur certains services.
B. Brève présentation du fonctionnement des services de X
La société propose deux types de services, ceux destinés directement aux particuliers et qui concernent uniquement les utilisateurs authentifiés et/ou non authentifiés, et ceux qui s'adressent à des entreprises ou des éditeurs de sites Internet et concernent également les utilisateurs passifs. De plus, la société met à disposition de ses utilisateurs divers outils leur permettant de gérer leurs données.
- Les services à destination des particuliers
La première catégorie regroupe les services listés en annexe n°1 [...].
Dans le cadre de ces services, la société collecte diverses informations sur les utilisateurs telles que les données pouvant être renseignées directement par ces derniers (tel est le cas des nom, prénom, numéro de téléphone, localisation géographique, centres d'intérêts, etc.) ainsi que les différentes pages consultées, les liens cliqués ou encore les contenus appréciés des utilisateurs.
Ces données sont également collectées par la société via les cookies [...] associés aux utilisateurs non authentifiés et les cookies [...] pour les profils authentifiés (annexe n° 2 - principaux cookies X / boutons "+1"). Ces cookies sont déposés et lus sur les terminaux de communications électroniques des utilisateurs lorsque ceux-ci accèdent aux services précités.
- Les services à destination des entreprises ou éditeurs de sites Internet Cette catégorie regroupe essentiellement deux services.
D'une part, le service [...] , outil gratuit d'analyse d'audience Internet de X, permet à des sites d'effectuer une analyse statistique de leur fréquentation.
Dans le cadre de ce service, la société enregistre diverses informations sur les visiteurs des sites utilisant le service d'analyse statistique telles que l'adresse IP, la page consultée, le nom du site consulté ou encore l'historique de navigation sur ce site. Ces données sont notamment collectées via les cookies [...], lesquels sont déposés et lus sur les terminaux de communications électroniques des utilisateurs lorsque ceux-ci accèdent à un site Internet utilisant le service d'analyse statistique.
D'autre part, [...] regroupe les services ([...]) permettant aux entreprises de diffuser des annonces sur certains services de X et son réseau publicitaire ([...]).
La société recueille diverses informations sur les visiteurs des sites utilisant ses services publicitaires telles que l'historique de navigation sur les sites consultés. Ces données sont notamment collectées via les cookies associés au nom de domaine [...], qui sont déposés et lus sur les terminaux de communications électroniques des utilisateurs lorsque ceux-ci accèdent à un site Internet utilisant les services publicitaires de X.
Par ailleurs, des boutons "+1" ou certains services de X peuvent être intégrés sur des pages de sites Internet tiers (ex : présence d'une barre de recherche X issue de [...] ou d'une carte issue de [...]). Les boutons "+1" permettent à l'utilisateur authentifié de faire connaître les contenus qu'il apprécie. En mode non authentifié, la présence de ces boutons et services sur une page Internet permet la collecte, par X, d'informations sur le visiteur du site Internet concerné (ex : adresse IP, site Internet visité).
- Les principaux outils mis à disposition des utilisateurs pour gérer leurs données
La société met en oeuvre le [...], outil listant les données associées au compte X d'un utilisateur authentifié. Il lui permet, notamment, de gérer ses historiques de recherches sur les services de X et de paramétrer certaines règles de confidentialité telles que le partage de certaines données avec d'autres utilisateurs.
En outre, un Gestionnaire de préférences pour les annonces ("Ads preference manager") permet à tout type d'utilisateur de s'opposer à recevoir de la publicité personnalisée tant lors d'une navigation sur les services de X proposant cette fonctionnalité ([...]) que sur les sites Internet tiers.
C. L'historique des échanges entre le groupe de travail de l'article 29 et X
Le 2 février 2012, le groupe de travail de l'article 29 sur la protection des données (ci-après "le G29") a informé la société qu'il s'apprêtait à analyser ses nouvelles règles de confidentialité au regard de la Directive n° 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel et à la libre circulation de ces données (ci-après "la directive"). Il a été demandé à la société de suspendre l'application de cette nouvelle politique, dans l'attente des conclusions du G29 représenté par la Commission nationale de l'informatique et des libertés (ci-après la "CNIL" ou la "Commission").
Par un courrier du 3 février 2012 adressé à la CNIL, la société a exposé sa démarche de refonte de la politique de confidentialité et a indiqué qu'elle n'entendait pas différer la mise en ligne des nouvelles règles dans la mesure où elle avait, notamment, déjà informé le public et ses utilisateurs de ce lancement au 1er mars 2012 et que cela risquait de créer de la confusion.
Le 27 février suivant, la CNIL représentant le G29 a adressé un courrier à la société l'invitant de nouveau à retarder la mise en oeuvre de sa nouvelle politique de confidentialité en raison de doutes quant à la conformité de l'information très générale qu'elle présentait et de la combinaison de données entre les services, à la directive précitée et à la directive n° 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 modifiée concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques.
Par courrier du 28 février 2012, la société a informé la CNIL qu'elle maintenait la mise en oeuvre de ses nouvelles règles de confidentialité au ter mars 2012 pour les raisons exposées dans son courrier du 3 février 2012. Elle a également indiqué qu'elle souhaitait pouvoir être entendue par le G29 afin de discuter de la situation.
Le 16 mars 2012, la CNIL a adressé à la société un questionnaire afin d'obtenir des clarifications sur les nouvelles règles de confidentialité et notamment, sur la combinaison de données. La société a été invitée à y répondre avant le 5 avril suivant et il lui a été indiqué, qu'à ce stade, une réunion apparaissait prématurée.
Par courrier du 5 avril 2012, complété le 20 avril suivant, la société a communiqué à la CNIL les réponses au questionnaire précité.
Le 22 mai 2012, la CNIL a indiqué à la société que ses réponses nécessitaient des clarifications et lui a adressé un questionnaire complémentaire, auquel la société a répondu par courrier du 21 juin 2012.
Le 19 septembre 2012, la CNIL a rencontré des représentants de la société afin de leur présenter un état des lieux de l'analyse du G29 et les recommandations qui pourraient en découler.
Par courrier du 16 octobre 2012, signé par les 27 Etats de l'Union européenne, le G29 a adressé à la société un certain nombre de recommandations pratiques visant à ce que la société se mette en conformité au regard des deux directives précitées. Ainsi, concernant l'information des personnes et la combinaison de données, plusieurs demandes ont été formulées telles qu'améliorer l'information des utilisateurs passifs ou recueillir le consentement des personnes pour certaines combinaisons de données.
Le 21 novembre 2012, la CNIL a rappelé à la société qu'elle devait se conformer aux recommandations au plus tard le 15 février 2013. La société en a accusé réception, par courrier du 13 décembre 2012.
Puis, le 8 janvier 2013, la société a fait part au G29 de certaines observations quant aux points évoqués dans le courrier du 16 octobre 2012. Elle a également demandé, à nouveau, que ses représentants puissent être reçus par le G29 dans le cadre d'une réunion.
Lors de la séance plénière du G29 du 26 février 2013, il a été décidé d'instaurer un sous-groupe de travail ([...]) en charge de poursuivre les investigations. Ce dernier est piloté par la CNIL et composé de membres des autorités de protection des données à caractère personnel française, néerlandaise, espagnole, allemande, anglaise et italienne.
Par courrier du 28 février 2013, la CNIL a fait savoir à la société qu'à son sens, elle ne s'était toujours pas conformée aux exigences de la directive. Il lui a été précisé que le sous-groupe de travail la recevrait en réunion le 19 mars suivant.
Le 6 mars 2013, la société représentée par le cabinet d'avocats A a interrogé la CNIL sur l'organisation et le cadre légal de cette réunion. Ces éléments ont été précisés à la société, par un courrier de réponse du 8 mars suivant.
La réunion du 19 mars 2013 s'est tenue en présence des représentants de la société et du sous-groupe de travail dans les locaux de la CNIL.
Puis la société a, par courrier du 26 mars 2013, annoncé au sous-groupe du G29 qu'un certain nombre de mesures allaient être mises en oeuvre afin d'améliorer la protection des données de ses utilisateurs.
Les analyses du G29 au regard des directives précitées étant terminées, la CNIL a décidé d'entamer sa propre analyse des règles de confidentialité au regard de la loi n° 78-17 du 6 janvier 1978 modifiée.
D. La décision de contrôle du 29 mars 2013
Par décision n° 2013-109C du 29 mars 2013, la Présidente de la CNIL a chargé le secrétaire général de procéder ou de faire procéder à une mission de vérification auprès de la société X dans les conditions prévues par l'article 44 de la loi n° 78-17 du 6 janvier 1978 modifiée.
Cette décision a été notifiée à la société par courrier du 2 avril 2013. Il lui a été précisé que les pouvoirs d'investigation de la CNIL pourront impliquer des échanges d'informations avec d'autres autorités de protection des données à caractère personnel et avec le G29.
La CNIL a, ainsi, demandé au G29, par courrier du 29 mars 2013, que tous les documents détenus par lui et relatifs aux nouvelles règles de confidentialité soient adressés à la Commission. L'ensemble de ces pièces lui a été notifié, par le G29, le 9 avril 2013.
Par courriers du 29 mars 2013, la CNIL a également sollicité la coopération des membres du sous-groupe de travail, notamment par le biais d'échanges d'informations en application de l'article 28-6 de la directive précitée.
Le 2 avril 2013, les membres du sous-groupe de travail ont publiquement annoncé qu'ils entendaient mener des investigations quant aux règles de confidentialité mises en ligne par la société, au regard de leur propre législation nationale.
Par courrier du 9 avril 2013 adressé à chacune de ces six autorités, la société a souhaité savoir si le sous-groupe de travail du G29 restait son interlocuteur sur ce sujet.
Le 17 avril suivant, la CNIL a précisé à la société, au nom des six autorités, que chacune d'elle mènera ses propres investigations selon ses procédures nationales et qu'il appartiendra de répondre séparément à chaque correspondance adressée par l'une d'elles. Il a, également, été reprécisé à la société que celles-ci pourront décider de partager des informations entre elles. En outre, si la société décidait de s'adresser directement au sous-groupe de travail du G29, toute information portée à sa connaissance serait diffusée à tous les membres du G29.
II. Sur les manquements constatés
Au terme de l'analyse faite par la CNIL des nouvelles règles de confidentialité et des éléments de réponse apportés au G29, les manquements suivants sont constatés.
Sur l'obligation de définir des finalités déterminées et explicites
Aux termes du 2° de l'article 6 de la loi n° 78-17 du 6 janvier 1978 modifiée, "les données à caractère personnel sont collectées pour des .finalités déterminées, explicites et légitimes et ne sont pas traitées ultérieurement de manière incompatible avec ces finalités".
La société précise, dans ses règles de confidentialité, collecter les données fournies par ses utilisateurs ("données que vous nous fournissez") et celles issues de ses services ("données que nous collectons lors de votre utilisation de nos services") dans l'objectif de "les fournir, les entretenir, les protéger et les améliorer, tout en développant de nouveaux services et en protégeant X ainsi que [ses] utilisateurs". Ces données permettent également de proposer aux utilisateurs "des contenus adaptés, tels que des annonces et des résultats de recherche plus pertinents". En outre, il est précisé que les informations fournies pour l'un des services "sont susceptibles d'être combinées avec celles issues d'autres services de X".
Interrogée par le G29 sur ces finalités jugées trop vagues, la société a apporté certaines précisions, notamment par le biais d'exemples ponctuels.
Or, certaines finalités demeurent toujours insuffisamment déterminées et explicites, notamment celles liées à l'amélioration des services, au développement de nouveaux services et à la combinaison potentielle de données avec celles issues d'autres services. Ces finalités sont évasives, l'utilisateur, quel que soit son statut, ne pouvant anticiper l'étendue et la teneur des notions de service et de combinaison.
Au surplus, ces finalités ne permettent pas à l'utilisateur d'appréhender concrètement l'utilisation qui pourrait être faite de ses données à l'avenir. Or, si l'utilisateur peut raisonnablement s'attendre à ce qu'un traitement de ses données soit réalisé pour le service qu'il a utilisé, en revanche, il n'a nullement conscience que ses données pourront être traitées pour tout autre service inexistant au jour de la collecte. Les finalités précitées semblent pouvoir concerner toute future activité que la société déciderait de développer et ne sont, en conséquence, pas suffisamment déterminées et explicites.
A cet égard, la société utilise à plusieurs reprises les termes peut , pouvons et susceptible pour évoquer les données qu'elle collecte et les finalités qu'elle poursuit, aboutissant ainsi à une grande incertitude sur les traitements effectivement réalisés. Il ressort, ainsi, de l'information diffusée auprès de ses utilisateurs que la société se réserve des pouvoirs en grande partie discrétionnaires et imprévisibles, qui sont incompatibles avec la notion de finalité déterminée et explicite.
Il résulte de ce qui précède que ces faits constituent un manquement aux obligations découlant du 2° de l'article 6 précité.
Sur l'obligation d'informer les personnes
En application du I de l'article 32 de la loi n° 78-17 du 6 janvier 1978 modifiée : "La personne auprès de laquelle sont recueillies des données à caractère personnel la concernant est informée, sauf si elle l'a été au préalable, par le responsable du traitement ou son représentant1° De l'identité du responsable du traitement et, le cas échéant, de celle de son représentant ; 2° De la finalité poursuivie par le traitement auquel les données sont destinées ; 3° Du caractère obligatoire ou facultatif des réponses ;4° Des conséquences éventuelles, à son égard, d'un défaut de réponse ;5° Des destinataires ou catégories de destinataires des données ;6° Des droits qu'elle tient des dispositions de la section 2 du présent chapitre ;7° Le cas échéant, des transferts de données à caractère personnel envisagés à destination d'un Etat non membre de la Communauté européenne.Lorsque de telles données sont recueillies par voie de questionnaires, ceux-ci doivent porter mention des prescriptions figurant aux 1°, 2°, 3° et 6°".
Préalablement à la refonte de ses règles de confidentialité, la société déployait pour chaque service une charte de confidentialité spécifique. Chaque politique détaillait pour le service concerné les finalités de la collecte des données des utilisateurs. Dorénavant, les règles de confidentialité concernent une multitude de services aux spécificités diverses. Si la mise en ligne d'un document unique poursuit un objectif de simplification pour l'utilisateur, cela ne saurait conduire à une réduction de la qualité de son information.
Or, d'une part, tel qu'indiqué précédemment, certaines finalités définies par la société sont insuffisamment déterminées et explicites, de sorte qu'il est impossible de considérer que les utilisateurs sont effectivement informés du traitement actuel et ultérieur de leurs données. L'information des personnes, pour être effective, suppose d'être claire, complète et détaillée.
A défaut d'une telle information, la personne concernée qui pense n'accéder qu'à des services ponctuels de la société, n'a pas conscience du caractère massif et transversal du traitement de ses données. Les finalités précitées traduisent la volonté de la société de traiter l'utilisateur de façon globale, pour le présent et pour l'avenir, et à travers tous ses services. Ce modèle économique doit nécessairement s'accompagner d'une information adéquate et précise afin de permettre à l'utilisateur d'appréhender, sans ambiguïté, l'usage qui sera fait de ses données.
D'autre part, l'information à destination des utilisateurs, quel que soit leur statut, est dispersée au sein de plusieurs supports. Cette information éparse contraint les utilisateurs à prendre connaissance de chacun d'eux afin d'obtenir une information pertinente et complète. Le manque d'unicité de cette information nuit, ainsi, à sa lisibilité, contrairement à l'objectif initialement poursuivi par la refonte des politiques de confidentialité. Au surplus, il n'est pas nécessairement clair pour les utilisateurs que des outils tels que la foire aux questions ou le centre d'aide comporteront des renseignements relatifs à la protection de leurs données. En effet, de telles dénominations ne sont pas propres à la confidentialité des données et renvoient d'ordinaire à des problématiques techniques liées au fonctionnement d'un service.
Les faits précités constituent, par conséquent, un manquement au I de l'article 32 précité.
Sur l'obligation de définir une durée de conservation des données
Aux termes du 5° de l'article 6 de la loi n° 78-17 du 6 janvier 1978 modifiée, "les données à caractère personnel sont conservées sous une forme permettant l'identification des personnes concernées pendant une durée qui n'excède pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées".
S'agissant des données collectées par la société dans le cadre des services, seules quelques rares durées de conservation ont été précisées par X dans ses réponses aux questionnaires du G29, telles que les durées suivantes :- 9 mois avant anonymisation par effacement du dernier octet des adresses IP. Or, en la matière, le G29 recommande une durée de conservation de 6 mois maximum. En outre, le procédé d'anonymisation devra être irréversible et exclure toute possibilité d'identifier les individus de façon indirecte ;- 2 ans pour la durée de validité des cookies enregistrés dans les navigateurs des utilisateurs. Or, lors de chaque connexion au service, ces cookies sont redéposés avec une prorogation de la durée de deux ans. Ainsi, la durée de validité du cookie est finalement illimitée et excessive en ce qu'elle prive l'utilisateur de la possibilité de réitérer son accord pour le dépôt du cookie ;- 18 mois avant l'anonymisation du numéro de cookie dans les journaux des serveurs de la société (service moteur de recherche). Or, les durées de conservation préconisées par la CNIL varient entre 6 et 12 mois selon le type de cookie et sa finalité. Une durée de 18 mois est, donc, en tout état de cause, excessive.
En outre, après la résiliation d'un service, la suppression d'un compte X ou la suppression d'un contenu par un utilisateur, la société ne s'engage pas à supprimer de ses serveurs les données collectées dans un délai fixe. Ces données sont conservées sur des supports de sauvegarde sans que la société n'ait précisé de durée de conservation. L'absence de durée de conservation fixée excède, ainsi, ce qui est nécessaire aux finalités pour lesquelles les données sont collectées et traitées.
Les faits précités constituent, par conséquent, un manquement aux obligations découlant du 5° de l'article 6 susvisé dans la mesure où la société n'a fixé que de rares durées de conservation pour les données qu'elle traite, dont certaines sont au surplus excessives.
Sur l'obligation de disposer d'une base légale pour les traitements relatifs à la combinaison de données 
Dans ses réponses, la société indique procéder potentiellement à la combinaison de l'intégralité des données collectées sur les utilisateurs de ses services.