AgentPublic/cnil huggingface dataset:
En ce qui concerne les modalités d’exercice de la faculté nouvelle reconnue aux personnes ayant fait l’objet d’une condamnation, il est prévu qu’en cas de condamnation avec dispense de peine ou dispense de mention au bulletin n° 2 de leur casier judiciaire, la demande adressée au procureur de la République pourra être formée sans délai à la suite de la décision devenue définitive, comme le permet actuellement l’article 230-8 du CPP pour les personnes ayant bénéficié d’une relaxe, d’un acquittement, d’un non-lieu ou d’une décision de classement sans suite. Dans les autres cas, le projet prévoit que la personne ne peut former sa demande, à peine d’irrecevabilité, que lorsque ne figure plus aucune mention dans le bulletin n°2 de son casier judiciaire .
 
La Commission prend acte de la nécessité de définir des conditions de recevabilité spécifiques pour les personnes ayant fait l’objet d’une condamnation mais n’ayant bénéficié ni d’une dispense de peine ni d’une dispense de mention au bulletin n° 2 du casier judiciaire.
 
Elle souligne néanmoins que le critère de recevabilité des demandes d’effacement prévu par le projet de loi semble exiger l’absence de toute mention dans le bulletin n°2 du casier judiciaire, alors que seule la prise en compte de l’absence de mention relative à la condamnation conduisant l’intéressé à former une demande d’effacement de données dans le TAJ lui apparaît justifiée.
En outre, la nouvelle rédaction du premier alinéa de l’article 230-8 prévue par le projet de loi prévoit expressément que le procureur de la République territorialement compétent peut, d’office ou à la demande de la personne concernée, demander que des données soient effacées, complétées ou rectifiées ou qu’elles fassent l’objet d’une mention, étant rappelé qu’en application du deuxième alinéa de l’article 230-9 du CPP, le magistrat chargé de suivre la mise en œuvre et la mise à jour du TAJ dispose des mêmes pouvoirs d’effacement, de rectification ou de maintien des données personnelles dans le traitement. Si les prérogatives ainsi mentionnées ne sont pas nouvelles, la Commission estime appropriée la clarification opérée, compte tenu des modifications successives dont l’article 230-8 du CPP a fait l’objet et de la nécessité d’en sécuriser l’interprétation pour la protection des droits des personnes concernées.
Enfin, le projet de loi fixe à deux mois le délai dont dispose le procureur de la République pour se prononcer sur les suites à donner aux demandes dont il est saisi, alors que ce délai est actuellement d’un mois. La Commission prend acte que cet allongement de la durée de traitement des demandes est rendu nécessaire par l’augmentation constante du nombre de demandes dont sont saisis les procureurs de la République et l’exigence d’un examen approfondi des dossiers. Elle souligne néanmoins que les mesures nécessaires doivent être prises pour que ce délai de deux mois soit respecté de manière effective, afin d’assurer le bon exercice des droits des personnes concernées.
 
Article 27 (Application aux PTOM)
 
L’article 27 du projet de loi a pour objet de modifier l’article 72 de la loi du 6 janvier 1978 afin de rendre applicables les dispositions de cette loi aux pays et territoires d’outre-mer (PTOM).
 
La Commission relève néanmoins que les dispositions du Règlement, qui sont directement applicables et auront vocation à se substituer aux dispositions de la loi du 6 janvier 1978, ne sont pas applicables aux PTOM, hors de son champ d’application. L’article 27 du projet n’a pas davantage pour effet de leur étendre le bénéfice de droits ou garanties en substance identiques à ceux du Règlement. L’ordonnance à venir devra, conformément à l’habilitation prévue à l’article 23, résorber ce décalage.
 
Article 28 (Entrée en vigueur)
La Commission n’émet pas d’observation sur cet article.
 
 
 
La Présidente
 
 
 
Isabelle FALQUE-PIERROTIN
La Présidente de la Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code pénal ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 45 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;
Vu la décision n° 2016-295C du 14 octobre 2016 de la Présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification de tous traitements relatifs à l’application X pour smartphone ;
Vu les procès-verbaux n° 2016-295/1, 2016-295/2, 2016-295/3 et 2016-295/4 des 4 et 9 novembre 2016, 14 juin 2016 et 23 octobre 2017 ;
Vu les autres pièces du dossier ;
 
Constate les faits suivants
La société X (ci-après, la société ) a été fondée en 2009 et a son siège social […]. Elle exploite une application mobile dénommée […] permettant aux utilisateurs d’échanger des messages avec d’autres utilisateurs via la connexion à internet de leur téléphone. Elle emploie environ 50 employés et a généré au premier semestre 2014 un chiffre d’affaires de 15,9 millions de dollars.
En application de la décision n° 2016-295C du 14 octobre 2016 de la Présidente de la Commission nationale de l’informatique et des libertés (ci-après, la CNIL ou la Commission ), une délégation de la CNIL a procédé à trois contrôles en ligne, les 4 et 9 novembre 2016 et le 23 octobre 2017. Une audition de la société a eu lieu dans les locaux de la CNIL le 14 juin 2017. Ces investigations ont eu pour objet de vérifier la conformité à la loi du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après loi Informatique et Libertés ou loi du 6 janvier 1978 modifiée ) de l’ensemble des traitements de données à caractère personnel mis en œuvre par la société.
 
Sur l’applicabilité de la loi française
Dans ses échanges avec les services de la CNIL, la société a contesté l’applicabilité de la loi française dans la mesure où étant établie aux Etats-Unis, elle se considère soumise à la législation de ce pays et à la compétence de la Federal Trade Commission .
Il est rappelé que, conformément à l’article 4 de la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 (ci-après, la directive ) :  Chaque État membre applique les dispositions nationales qu'il arrête en vertu de la présente directive aux traitements de données à caractère personnel lorsque […]
c) le responsable du traitement n'est pas établi sur le territoire de la Communauté et recourt, à des fins de traitement de données à caractère personnel, à des moyens, automatisés ou non, situés sur le territoire dudit État membre, sauf si ces moyens ne sont utilisés qu'à des fins de transit sur le territoire de la Communauté. 
De même, le 2° du I de l’article 5 de la loi Informatique et Libertés prévoit que sont soumis à ses dispositions les traitements pour lesquels le responsable sans être établi sur le territoire français ou sur celui d’un autre Etat membre de la Communauté européenne, recourt à des moyens de traitement situés sur le territoire français(…) .
Le Groupe de travail de l’article 29 sur la protection des données (ci-après G29 ) dans son avis n° 8/2010 du 16 décembre 2010 sur le droit applicable, tel que modifié le 16 décembre 2015, adopte une interprétation large de la notion de moyens de traitement, qui englobe des intermédiaires humains mais aussi techniques, que la collecte de données soit réalisée à distance ou non.
Le G29 a rappelé dans cet avis
que lorsqu’un responsable du traitement collecte sciemment des données à caractère personnel, même accessoirement, en ayant recours à des moyens situés dans l’UE, la directive s’applique. 
En l’espèce, il n’est pas contesté que la société X ne dispose ni d’un établissement sur le territoire français ni d’un établissement sur le territoire de l’Union Européenne. Toutefois, la société collecte des données à caractère personnel en ayant recours à des moyens de traitement situés sur le territoire français. En effet, la société met à disposition un service de messagerie via une application à installer sur des terminaux mobiles situés notamment sur le territoire français, qui permet de collecter les données des utilisateurs telles que leurs nom, prénom, numéro de téléphone ou photographie. Ce service est de surcroît disponible en langue française et ses options de paramétrage permettent son utilisation par des personnes situées sur le territoire français.
Il en résulte qu’en proposant l’application […] à des utilisateurs se trouvant en France, la société recourt à des moyens de traitement situés sur le territoire français et est donc soumise à la loi française applicable en vertu du 2° du I de l’article 5 de la loi du 6 janvier 1978 modifiée.
 
 
 
Sur les faits
En 2014, la société Y a procédé au rachat de la société X. Afin de tirer les conséquences de ce rachat et de tenir compte de ce que les données des utilisateurs de l’application […] seraient transmises à la société Y, la société a mis à jour ses conditions d’utilisation ainsi que sa politique de confidentialité au sein de ses mentions légales dont une nouvelle version a été mise en ligne le 25 août 2016. 
Il convient de rappeler que par une décision du 18 mai 2017, la Commission Européenne a infligé une amende de 110 millions d'euros à Y p
our avoir fourni des renseignements dénaturés concernant l'acquisition de la société X. La Commission a rappelé à cette occasion la nécessité pour les sociétés de fournir des informations exactes et non trompeuses.
Au cours du contrôle en ligne du 4 novembre 2016, la délégation a constaté que ces nouvelles règles d’utilisation et de confidentialité contiennent notamment les mentions suivantes :  Nous avons rejoint Y en 2014. Désormais, X fait partie de la famille de sociétés de Y. ,
Si vous êtes déjà un utilisateur, vous pouvez choisir, ci-dessous, de ne pas partager vos informations de compte […] avec Y pour améliorer vos expériences avec les produits et publicités Y. Les utilisateurs déjà existants qui acceptent notre mise à jour des Conditions et notre Politique de Confidentialité auront 30 jours supplémentaires pour faire ce choix et  Vous pouvez supprimer votre compte […] à tout moment (notamment si vous voulez revenir sur votre acceptation relative à notre utilisation de vos informations) à l’aide de notre fonctionnalité de suppression de compte intégrée à l’application. 
La délégation a constaté lors des contrôles en ligne des 4 et 9 novembre 2016 qu’aucune information relative aux traitements de données à caractère personnel mis en place par la société n’est présente sur le formulaire permettant de créer un compte sur l’application.
Les procès-verbaux n° 2016-295/1 et 2016-295/2 des 4 et 9 novembre 2016 ont été notifiés à la société le 27 décembre 2016. Par ailleurs, un questionnaire a été adressé à la société lui demandant notamment d’indiquer le type de données transmises aux sociétés de la familleY, les finalités de cette transmission, les mécanismes d’opposition des utilisateurs et de fournir les documents contractuels encadrant les échanges de données avec les sociétés de la famille Y.
Par courrier du 27 février 2017, la société a indiqué en réponse au questionnaire, qu’étaient transmises à Y les catégories de données suivantes : l’identifiant du compte […] de l’utilisateur, des informations relatives à l’appareil utilisé et des informations relatives à l’utilisation de l’application comme par exemple, la date de la dernière connexion. La société a précisé que les données des utilisateurs français n’avaient jusqu’à présent été partagées qu’avec Y, en sa seule qualité de sous-traitant.
La société a ensuite indiqué que la transmission des données poursuivait deux finalités. La première finalité, dite de business intelligence , lui permet de bénéficier de services de la part des autres sociétés de la famille Y afin, par exemple, d’analyser les habitudes d’utilisation des utilisateurs. Ce partage de données permettrait notamment à la société X  d’explorer et de déverrouiller les moyens de développer et étendre son activité . La deuxième finalité porte sur la sécurité, l’échange d’informations entre les sociétés ayant pour objet la lutte contre les comptes abusifs, menaçants ou contrefacteurs.
Elle a par ailleurs indiqué qu’une troisième finalité ayant pour objectif l’amélioration de l’expérience des utilisateurs concernant les publicités et les produits Y, était envisagée mais que les traitements relatifs à cette finalité n’avaient pas encore été mis en œuvre.
La société a indiqué qu’après le lancement de la mise à jour du 25 août 2016, tous les utilisateurs se connectant à l’application ont reçu une notification contenant les éléments essentiels de la mise à jour et des liens vers le texte complet des conditions d’utilisation et de la politique de confidentialité. 
La société a expliqué que les utilisateurs inscrits après le 25 août 2016 ont également accès aux informations relatives à la mise à jour et qu’ils peuvent soit accepter les conditions d’utilisation et la politique de confidentialité en cliquant sur un bouton Accepter et continuer , soit choisir de ne pas utiliser l’application.
La société a indiqué qu’elle avait un intérêt légitime à transmettre les données de ses utilisateurs vers Y dans la mesure où cette transmission s’inscrivait dans le cadre de son acquisition par Y, qu’elle permet l’amélioration du service qu’elle propose et que le consentement des utilisateurs à cette transmission a été recueilli. La société a par ailleurs expliqué ne pas comprendre la nature de la documentation demandée par la CNIL, s’agissant de la transmission des données vers les sociétés de la famille Y.
Par courrier du 21 avril 2017, une convocation a été adressée à la société afin d’être auditionnée par les services de la CNIL. Cette convocation était accompagnée de plusieurs demandes dont une visait à obtenir de la société  l’ensemble des données transmises pour un échantillon de mille personnes situées sur le territoire français . Au cours de l’audition qui s’est déroulée dans les locaux de la CNIL le 14 juin 2017, la société a précisé que le seul moyen mis à disposition des utilisateurs de l’application pour s’opposer à la transmission de leurs données à Y, dans le cadre des deux premières finalités, consistait en la suppression de leur compte.
A l’issue de l’audition, la délégation a demandé à la société de lui transmettre la liste exhaustive et précise des données communiquées à Y et lui a de nouveau demandé de lui fournir un échantillon des données transmises à Y ainsi que les documents encadrant la relation contractuelle entre la société et Y.
Par courrier du 20 juillet 2017, la société a indiqué que la transmission de l’échantillon demandé par la CNIL se heurtait à des problématiques juridiques car ses bases de données sont situées aux Etats-Unis et que seule la loi américaine est applicable. La société a par ailleurs transmis à la CNIL une liste des catégories de données transmises à Y identique à celle fournie dans sa réponse du 27 février 2017. Le 7 août 2017, la délégation a adressé un courrier électronique à la société demandant notamment de lui communiquer les instructions données à Y dans le cadre des traitements aux fins desquels les données sont transmises. Le 5 septembre 2017, la société a fait valoir que le caractère confidentiel des contrats de sous-traitance conclus avec Y rendait impossible leur communication à la CNIL. A la suite d’une nouvelle demande des services de la CNIL en date du 17 novembre 2017, la société a transmis à la CNIL le 30 novembre 2017 un contrat de  Data Processing Agreement  conclu le 7 novembre 2016 entre X et Y dont il ressort que la société Y traite les données personnelles transmises par X pour le compte de cette dernière.
La société a également transmis à cette occasion des captures d’écran de la section  Avis pour les utilisateurs de l’UE  disponible dans la rubrique  Questions et réponses  de l’application dans lesquelles il est fait état de ce que lorsqu’elle partage des informations avec les  entreprises Y, ces dernières agissent en tant que  fournisseurs de service  et ne peuvent pas utiliser ces informations à des fins personnelles mais qu’elles doivent  plutôt agir au nom de X .
 
II- Sur les manquements constatés au regard des dispositions de la loi du 6 janvier 1978 modifiée
 
Un manquement à l’obligation de disposer d’une base légale pour les traitements mis en œuvre. 
Il ressort des informations fournies par la société que les données des utilisateurs de l’application sont transmises aux sociétés de la famille Y dans le cadre des finalités de  business intelligence  et de sécurité, sans que ceux-ci ne puissent s’y opposer autrement qu’en supprimant leur compte.
Sur le statut de la société Y dans le cadre de la transmission de données par X
Il convient de souligner que contrairement à ce qu’a soutenu la société dans ses échanges avec la CNIL, il apparait que la société Y n’agit pas uniquement en qualité de sous-traitant mais également en qualité de responsable de traitement au sens de la loi Informatique et Libertés .
Dans son avis n°1/2010 du 6 février 2010 sur les notions de responsable du traitement et de sous-traitant , le G29 rappelle que Si un contractant avait une influence sur la finalité et qu’il procédait au traitement (également) à des fins personnelles, par exemple en utilisant les données à caractère personnel reçues en vue de créer des services à valeur ajoutée, il deviendrait alors responsable du traitement (ou éventuellement coresponsable du traitement) .
Par ailleurs, le G29 explique qu’ Être responsable du traitement résulte essentiellement du fait qu’une entité a choisi de traiter des données à caractère personnel pour des finalités qui lui sont propres. 
 
Le G29 considère ainsi qu’un sous-traitant qui utiliserait les données transmises par un responsable de traitement pour son propre compte, agirait de ce fait comme un responsable de traitement.
 
En l’espèce, l’analyse des informations transmises par la société fait apparaitre une contradiction s’agissant du rôle deY dans la transmission des données. En effet, si la rubrique Questions et réponses fait état de ce que les sociétés avec lesquelles X partagent les données ne les utilisent pas à leurs propres fins et que le contrat Data Processing Agreement précise que Y ne traite les données transmises qu’au bénéfice de la société, ces indications sont contredites la Politique de confidentialité.
En effet, la rubrique Politique de confidentialité des mentions légales telle que modifiée par la mise à jour du 25 août 2016, fait état de ce que la société a  rejoint la famille de sociétés Y en 2014. En tant que membre de la famille de sociétés Y, X reçoit des informations provenant des membres de cette famille de sociétés et leur en transmet. Nous pouvons utiliser les informations qu’ils nous envoient, et ils peuvent utiliser celles que nous leur transmettons, afin de nous aider à exploiter, fournir, améliorer, comprendre, personnaliser, prendre en charge et commercialiser nos Services et leurs offres. [soulignement ajouté]
[…]
Y et les autres sociétés de la famille Y peuvent également utiliser des informations que nous avons fournies pour améliorer vos expériences au sein de leurs services .
 
En outre, l’écran intitulé  Comment faire si je choisis de ne pas partager mes informations de compte […] pour améliorer mes expériences avec les publicités et produits Y  accessible en accédant à la rubrique  Questions et Réponses  puis à la rubrique  Sécurité et Confidentialité , indique que  la famille de société Y recevra et utilisera quand même ces informations à d’autres fins telles que l’amélioration de l’infrastructure et les systèmes de livraison, comprendre comment nos services ou les leurs sont utilisés… .
Ainsi, dans la mesure où les conditions d’utilisations et la politique de confidentialité sont directement opposables aux utilisateurs et que ces derniers sont expressément invités par la société à en prendre connaissance et à les accepter avant de commencer à utiliser l’application, il doit être considéré que la société entend bien informer ses utilisateurs que Y, non seulement reçoit les données de la part de X et les traite pour le compte de cette dernière, mais qu’elle effectue aussi un traitement distinct, pour une finalité qu’elle a elle-même déterminée et pour son propre compte.
 
Ce traitement additionnel des données par Y ressort également du courrier de la société du 27 février 2017. Elle a en effet indiqué que dans le cadre de la deuxième finalité (sureté et sécurité), la transmission de données lui permet de 
partager et recevoir des informations concernant des comptes abusifs, menaçants ou contrefacteurs qui pourraient être actifs sur les plateformes de la famille de sociétés Y.  [soulignement ajouté]. En d’autres termes, les données transmises par X sont utilisées par Y afin d’améliorer la sécurité de ses propres services.
Par conséquent, au regard du contenu de la politique de confidentialité de l’application et de la rubrique  Questions et réponses , des réponses apportées par la société, Y doit être considérée, en application des dispositions de la loi Informatique et Libertés , comme responsable de traitement destinataire des données à caractère personnel collectées par la société X et non comme un sous-traitant. 
 
 
Sur le manquement constaté
Aux termes de l’article 7 de la loi n° 78-17 du 6 janvier 1978 modifiée : un traitement de données à caractère personnel doit avoir reçu le consentement de la personne concernée ou satisfaire à l'une des conditions suivantes :
1° Le respect d'une obligation légale incombant au responsable du traitement ;
2° La sauvegarde de la vie de la personne concernée ;
3° L'exécution d'une mission de service public dont est investi le responsable ou le destinataire du traitement ;
4° L'exécution, soit d'un contrat auquel la personne concernée est partie, soit de mesures précontractuelles prises à la demande de celle-ci ;
5° La réalisation de l'intérêt légitime poursuivi par le responsable du traitement ou par le destinataire, sous réserve de ne pas méconnaître l'intérêt ou les droits et libertés fondamentaux de la personne concernée .
 
Dans son courrier du 27 février 2017, la société indique disposer d’une double base légale s’agissant du traitement consistant à transmettre des données à Y : le consentement des utilisateurs et son intérêt légitime.