AgentPublic/cnil huggingface dataset:
La rapporteure considère que la société […], en tant qu’elle édite le site web "[…]" et l’application mobile […], a une part de responsabilité dans le respect des obligations de l’article 82 de la loi "Informatiques et Libertés" pour les opérations de lecture et / ou d’écriture d’informations effectuées dans le terminal des utilisateurs via le mécanisme de reCaptcha fourni par la société Google, lors de la création du compte sur l’application mobile ainsi que lors de la connexion et la procédure de mot de passe oublié sur le site internet. La rapporteure a constaté que la société […] ne fournit aucune information, notamment par une fenêtre de consentement, de la collecte d’informations stockées sur l’équipement de l’utilisateur, ni des moyens de refuser cette collecte. Le consentement de l’utilisateur portant sur l’accès aux informations stockées sur son équipement ou sur l’inscription d’informations sur son équipement n’est recueilli à aucun moment.
En défense, la société affirme utiliser le mécanisme de reCaptcha dans le seul but d’assurer la sécurisation du mécanisme d’authentification des utilisateurs. Elle précise que la mise en place d’un tel mécanisme est conforme à la délibération n° 2017-012 du 19 janvier 2017 de la CNIL laquelle ne précise pas qu’il est obligatoire de recueillir le consentement des utilisateurs. Elle ajoute que l’utilisation du reCaptcha doit bénéficier de la seconde exemption prévue à l’article 82 de la loi "Informatique et Libertés" en ce que le service est demandé par l’utilisateur - à savoir l’inscription ou la connexion au service de […] - et que les actions de lecture et d’écriture des informations présentes sur les terminaux sont nécessaires pour assurer la sécurité du service. Elle précise que si elle n’est pas tenue de recueillir le consentement de ses utilisateurs pour l’utilisation qu’elle fait elle-même du reCaptcha, elle ne saurait être tenue de le recueillir pour le compte de la société Google. Elle affirme que le mécanisme de reCaptcha Google, directement intégré sur le site, prévoit un lien qui renvoie à la politique de confidentialité de Google, laissant sous-entendre que la société Google se considère comme responsable du traitement et informe elle-même les utilisateurs. Par ailleurs, la société […] ne peut pas modifier elle-même la présentation ou le paramétrage du mécanisme et n’a donc pas la faculté d’intégrer une case à cocher ou un autre lien d’information. La société
affirme que la délibération n° 2020-092 du 17 septembre 2020 est postérieure à la procédure de contrôle et ne peut être appliquée pour l’analyse de recueil de consentement des utilisateurs, l’analyse devant être effectuée sur le régime antérieur à ladite délibération. Elle conclut toutefois qu’elle n’aura plus recours à ce mécanisme à compter d’octobre 2022.
La formation restreinte relève, en premier lieu, que le Conseil d’Etat a jugé (CE, 6 juin 2018, Editions Croque Futur, n° 412589, Rec.), qu’au titre des obligations qui pèsent sur l’éditeur d’un site qui dépose des "cookies tiers", figurent celle de s’assurer auprès de ses partenaires, d’une part, qu’ils n’émettent pas, par l’intermédiaire de son site, des traceurs qui ne respectent pas la réglementation applicable en France, et d’autre part, celle d’effectuer toute démarche utile auprès d’eux pour mettre fin à des manquements. Le Conseil d’Etat a en particulier jugé que "les éditeurs de site qui autorisent le dépôt et l'utilisation de tels " cookies " par des tiers à l'occasion de la visite de leur site doivent également être considérés comme responsables de traitement, alors même qu'ils ne sont pas soumis à l'ensemble des obligations qui s'imposent au tiers qui a émis le " cookie ", notamment lorsque ce dernier conserve seul la maitrise du respect de sa finalité ou de sa durée de conservation. Au titre des obligations qui pèsent sur l'éditeur de site dans une telle hypothèse, figurent celle de s'assurer auprès de ses partenaires qu'ils n'émettent pas, par l'intermédiaire de son site, des " cookies " qui ne respectent pas la règlementation applicable en France et celle d'effectuer toute démarche utile auprès d'eux pour mettre fin à des manquements" (v. également CNIL, FR, 27 septembre 2021, Sanction, n° SAN-2021-013, publié).
La formation restreinte relève en outre que si les recommandations émises par la Commission en matière de cookies ont évolué récemment pour tenir compte des évolutions induites par le RGPD en matière de consentement notamment, ces évolutions n’ont pas d’incidence dans le cas d’espèce et il a continuellement été considéré, comme l’indique la délibération n° 2013-378 du 5 décembre 2013 portant adoption d’une recommandation relative aux cookies et autres traceurs visés par l’article 32-II de la loi du 6 janvier 1978 depuis abrogée, que "lorsque plusieurs acteurs interviennent dans le dépôt et la lecture de cookies (par exemple lorsque les éditeurs facilitent le dépôt de cookies qui sont ensuite lus par des régies publicitaires), chacun d'entre eux doit être considéré comme coresponsable des obligations découlant des dispositions de l'article 32-II précité [actuel article 82 de la loi du 6 janvier 1978]". Cette délibération précise qu’il en est ainsi "des éditeurs de sites internet (ou des éditeurs d'application mobile par exemple) et de leurs partenaires (régies publicitaires, réseaux sociaux, éditeurs de solutions de mesure d'audience...). En effet, dans la mesure où les éditeurs de site constituent souvent l'unique point de contact des internautes et que le dépôt de Cookies de tiers est tributaire de la navigation sur leur site, il leur appartient de procéder, seuls ou conjointement avec leurs partenaires, à l'information préalable et au recueil du consentement explicités à
l'article 2 de la présente recommandation". La formation restreinte précise d’ailleurs qu’elle a déjà consacré la responsabilité des éditeurs de sites internet dans plusieurs décisions (v. en ce sens, Délibération SAN-2021-013 du 27 juillet 2021).
La formation restreinte constate qu’un mécanisme de reCaptcha, fourni par la société Google, est utilisé lors de la création du compte sur l’application mobile ainsi que lors de la connexion et la procédure de mot de passe oublié sur le site internet. La formation restreinte considère que c’est bien l’éditeur du site – en l’espèce […] - qui a choisi de recourir au mécanisme de reCaptcha et a donc permis les actions de lecture et d’écriture des informations présentes sur les terminaux des utilisateurs.
Au regard des éléments qui précèdent, la formation restreinte considère que la société n’est pas fondée à soutenir qu’aucune obligation ni aucune responsabilité ne lui incombent quant aux opérations effectuées par Google via le reCaptcha tendant à accéder à des informations déjà stockées dans l’équipement terminal de communications électroniques des utilisateurs, ou à inscrire des informations dans cet équipement, sans leur consentement, lorsqu’ils visitent son site. Elle considère donc que la société est également responsable du respect des dispositions de l’article 82 de la loi "Informatique et libertés" lors de l’utilisation du mécanisme de reCaptcha de Google.
En deuxième lieu, la formation restreinte considère que si un responsable de traitement peut se prévaloir d’une exemption à l’information et au recueil du consentement lorsque les opérations de lecture/écriture effectuées dans le terminal d’un utilisateur ont pour seule finalité la sécurisation d’un mécanisme d’authentification au bénéfice des utilisateurs (v. en ce sens, CNIL, FR, 27 septembre 2021, Sanction, n° SAN-2021-013, publié), il en va autrement lorsque ces opérations poursuivent également d’autres finalités qui ne sont pas strictement nécessaires à la fourniture d’un service. Or, le mécanisme de reCaptcha Google n’a pas pour seule finalité la sécurisation du mécanisme d’authentification au bénéfice des utilisateurs mais permet par ailleurs des opérations d’analyse de la part de Google, ce que la société Google précise elle-même dans ses conditions générales d’utilisation.
La formation restreinte relève que la société GOOGLE informe les sociétés ayant recours à la technologie reCaptcha, dans des conditions générales d’utilisation disponibles en ligne, que le fonctionnement de l’API reCAPTCHA repose sur la collecte d’informations matérielles et logicielles (telles que les données sur les appareils et les applications) et que ces données sont transmises à Google pour analyse. La société GOOGLE précise également qu’il incombe à ces sociétés d’informer les utilisateurs et de demander leur autorisation pour la collecte et le partage des données avec GOOGLE.
En l’espèce, il ressort de ces éléments que la société […] aurait dû informer les utilisateurs et recueillir leur consentement, ce qui n’est pas le cas en l’espèce.
En effet, si la société […] informait, à la date du contrôle, les utilisateurs, dans le cadre de sa politique de confidentialité, que "lors de votre visite sur notre Site ou Application, des données de navigation et de localisation, issues des cookies ou des technologies similaires, seront collectées", les finalités précises des cookies utilisés, la possibilité de s’y opposer ou le fait que la poursuite de la visite constituait une forme de consentement ne figuraient pas parmi les informations fournies par la société. En outre, l’information, accessible via la politique de confidentialité sur le site, n’était fournie que postérieurement au dépôt de cookies et autres traceurs et de manière non spécifique alors que la recommandation issue de la délibération n° 2020-092 du 17 septembre 2020 prévoit clairement que l’information doit être spécifique et antérieure au dépôt. Partant, il ne peut être considéré que les utilisateurs étaient informés et que le consentement était valablement recueilli à l’aune des recommandations de la délibération n° 2020-092 du 17 septembre 2020.
En dernier lieu, s’agissant de l’opposabilité de la délibération n° 2020-092 du 17 septembre 2020 aux fins d’analyse du recueil du consentement des utilisateurs, la formation restreinte rappelle que la délibération n° 2020-092 portant adoption d’une recommandation proposant des modalités pratiques de mise en conformité en cas de recours aux "cookies et autres traceurs" vise à interpréter les dispositions législatives applicables et à éclairer les acteurs sur la mise en place de mesures concrètes permettant de garantir le respect de ces dispositions, afin qu’ils mettent en œuvre ces mesures ou des mesures d’effet équivalent. En ce sens, il est précisé dans les recommandations que celles-ci "ont pour objet principal de rappeler et d’expliciter le droit applicable aux opérations de lecture et/ou d’écriture d’informations (ci-après les "traceurs") dans l’équipement terminal de communications électroniques de l’abonné ou de l’utilisateur (ci-après "utilisateurs")".
La Commission a rappelé, dans le cadre de sa recommandation du 17 septembre 2020, que "lorsqu’aucune des exceptions prévues à l’article 82 de la loi "Informatique et Libertés" n’est applicable, les utilisateurs doivent, d’une part, recevoir une information conforme à cet article, complétée, le cas échéant, par les exigences du RGPD, et, d’autre part, se voir indiquer les conséquences de leur choix".
La formation restreinte relève que la CNIL n’a pas créé dans sa recommandation de nouvelles obligations à la charge des acteurs mais s’est bornée à illustrer concrètement comment l’article 82 de la loi doit trouver à s’appliquer.
A cet égard, la circonstance que la recommandation du 17 septembre 2020 ne serait pas opposable à la société compte tenu des modalités de recueil du consentement applicables à la date du contrôle, est sans incidence dès lors que l’article 82 de la loi Informatique et libertés prévoit que "tout utilisateur d'un service de communications électroniques doit être informé de manière claire et complète, sauf s'il l'a été au préalable, par le responsable du traitement ou son représentant : 1. De la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans son équipement terminal de communications électroniques, ou à inscrire des informations dans cet équipement ; 2. Des moyens dont il dispose pour s'y opposer".
En tout état de cause, la formation restreinte relève que la société n’a pas informé l’utilisateur, et cela même au regard des dispositions de l’ancienne recommandation issue de la délibération n° 2013-378 du 5 décembre 2013, antérieure à celles de la délibération n° 2020-092, de la finalité précise des cookies, de la possibilité de s’y opposer et du fait que la poursuite de la navigation vaut accord au dépôt de cookies sur son terminal.
Enfin, la formation restreinte prend note que la société […] entend ne plus avoir recours à ce mécanisme à compter d’octobre 2022. Cependant, à la date des contrôles, ledit mécanisme était bien utilisé.
Dès lors, au vu de ce qui précède, la formation restreinte considère que la société a méconnu ses obligations au regard de l’article 82 de la loi "Informatique et Libertés" en permettant le dépôt de cookies sur le terminal des utilisateurs via le mécanisme de reCaptcha fourni par la société Google sans informer les utilisateurs et sans recueillir leur consentement.
Sur les mesures correctrices et la publicité
Aux termes du III de l’article 20 de la loi du 6 janvier 1978 modifiée :
"Lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l'informatique et des libertés peut également, le cas échéant après lui avoir adressé l'avertissement prévu au I du présent article ou, le cas échéant en complément d'une mise en demeure prévue au II, saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l'une ou de plusieurs des mesures suivantes : […]
7° À l'exception des cas où le traitement est mis en œuvre par l'État, une amende administrative ne pouvant excéder 10 millions d'euros ou, s'agissant d'une entreprise, 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l'article 83 du règlement (UE) 2016/679 du 27 avril 2016, ces plafonds sont portés, respectivement, à 20 millions d'euros et 4 % dudit chiffre d'affaires. La formation restreinte prend en compte, dans la détermination du montant de l'amende, les critères précisés au même article 83".
L’article 83 du RGPD prévoit que "Chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour des violations du présent règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives", avant de préciser les éléments devant être pris en compte pour décider s'il y a lieu d’imposer une amende administrative et pour décider du montant de cette amende.
En premier lieu, s’agissant du principe du prononcé d’une amende, la formation restreinte rappelle qu’elle doit tenir compte, pour le prononcé d’une amende administrative, des critères précisés à l’article 83 du RGPD, tels que la nature, la gravité et la durée de la violation, les mesures prises par le responsable du traitement pour atténuer le dommage subi par les personnes concernées, le degré de coopération avec l’autorité de contrôle et les catégories de données à caractère personnel concernées par la violation.
La formation restreinte considère d’abord que la société a fait preuve de défaillances graves en matière de protection des données à caractère personnel puisque des manquements à des principes fondamentaux et élémentaires du RGPD et de la loi "Informatique et Libertés" sont constitués, tels que les principes de minimisation des données et le recueil du consentement des utilisateurs avant d’inscrire et de lire des informations sur son équipement terminal de communication électronique.
La formation restreinte relève ensuite que l’atteinte aux droits des personnes qui résulte du manquement au principe de minimisation des données à caractère personnel est particulièrement importante, au regard de la nature particulière des données de géolocalisation. En effet, la société procède à une collecte quasi permanente de données de géolocalisation des utilisateurs des scooters qu’elle loue. Une telle collecte est particulièrement intrusive pour les utilisateurs. En effet, elle permet de suivre l’ensemble des trajets réalisés par l’utilisateur, d’identifier les lieux où il se rend, pouvant révéler ainsi des informations sur son comportement, ses habitudes de vie, ce qui est susceptible de porter atteinte à sa vie privée et à sa liberté de circuler anonymement.
 La formation restreinte souligne également que les données à caractère personnel traitées par la société concernent environ 247 000 utilisateurs, répartis sur le territoire de trois États membres de l’Union européenne.
 La formation restreinte relève également que certains contrats conclus par la société […] avec ses sous-traitants sont incomplets et ne contiennent pas toutes les mentions prévues par l’article 28, paragraphe 3 du RGPD ou ne prévoient pas de manière assez précise les obligations qui incombent au sous-traitant.
S’agissant du mécanisme de reCaptcha, la formation restreinte considère que le manquement relatif à l’article 82 de la loi "Informatique et Libertés" est caractérisé par le fait que la société n’a pas respecté les exigences en matière d’information et de recueil du consentement, ce qui a eu pour effet de priver les utilisateurs du choix qu’ils doivent pouvoir exprimer quant aux modalités selon lesquelles leurs données personnelles seront utilisées.
En conséquence, la formation restreinte considère qu’il y a lieu de prononcer une amende administrative au regard des manquements constitués aux articles 5, paragraphe 1, c) et 28, paragraphe 3 du RGPD et à l’article 82 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiée.
En deuxième lieu, s’agissant du montant de l’amende, la formation restreinte rappelle que les amendes administratives doivent être effectives, proportionnées et dissuasives.
En l’espèce, la société a méconnu ses obligations au titre des articles 5, paragraphe 1, c) et 28, paragraphe 3 du RGPD et de l’article 82 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiée à l’égard d’environ 247 000 utilisateurs.
La formation restreinte prend toutefois en compte le fait que, à l’issue des contrôles effectués par la délégation de la CNIL, la société s’est mise en conformité sur les contrats conclus avec les sociétés […]au regard des exigences de l’article 28, paragraphe 3 du RGPD.
Elle rappelle également que l’activité de l’organisme et sa situation financière doivent être prises en compte pour la détermination de la sanction et notamment, en cas d’amende administrative, de son montant. Elle relève à ce titre que la société a réalisé, en 2019, un chiffre d'affaires de 21 882 031 euros, pour un résultat net en perte, de -12 641 302 euros. La société a estimé son chiffre d’affaires pour l’exercice clos au 31 décembre 2020 à un montant de […].
Dès lors, au vu de ces éléments, la formation restreinte considère que le prononcé d’une amende administrative de 100 000 euros au titre des manquements au RGPD et 25 000 euros au titre du manquement à la loi "Informatique et Libertés" apparaît justifié.
En troisième lieu, la formation restreinte considère que la publicité de la sanction se justifie au regard de la nature particulière des données concernées qui portent sur des données de géolocalisation et de l’atteinte à la vie privée des utilisateurs.
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide de :
prononcer à l’encontre de la société […] une amende administrative d’un montant de 100 000 (cent mille) euros au regard des manquements constitués aux articles 5, paragraphe 1, c) et 28, paragraphe 3 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données et 25 000 (vingt-cinq mille) euros au regard du manquement constitué à l’article 82 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiée ;
rendre publique, sur le site de la CNIL et sur le site de Légifrance, sa délibération, qui n’identifiera plus nommément la société […] à l’expiration d’un délai de deux ans à compter de sa publication.
Le président
Alexandre LINDEN
Cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’État dans un délai de deux mois à compter de sa notification.
La Commission nationale de l'informatique et des libertés,
Saisie par l’Agence nationale de santé publique d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité une étude portant sur le suivi épidémiologique des travailleurs exposés à l’incendie industriel survenu le 26 septembre 2019 sur les sites des entreprises Lubrizol et NL logistique à Rouen ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 66, 72 et suivants ;
Vu l’avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 12 juillet 2022 ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Valérie PEUGEOT, commissaire, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable de traitement
Le responsable de traitement de cette étude est l’Agence nationale de santé publique (ANSP).
Sur les sous-traitants
Plusieurs sous-traitants interviendront dans la mise en œuvre de cette étude, notamment la société IPSOS, la Caisse nationale d’assurance vieillesse (CNAV) et la Caisse nationale de retraites des agents des collectivités locales (CNRACL).
Le traitement des données par les sous-traitants devra être régi par un contrat ou un acte juridique conformément à l’article 28 du règlement général sur la protection des données (RGPD).
Sur les catégories de personnes concernées par l’étude
Sous réserve de l’exercice du droit d’opposition, seront inclus dans la présente étude :
les "travailleurs exposés sur site""  : les salariés d’entreprises ou d’organismes publics intervenus sur les sites incendiés des entreprises Lubrizol et NL logistique entre le 26 septembre 2019 et le 30 septembre 2020 (correspondant à la fin du chantier de remédiation) ;
"les travailleurs exposés hors site à proximité"  : des salariés exposés hors site, travaillant dans un établissement situé à proximité des sites incendiés et ayant travaillé entre le 26 septembre 2019 au 7 octobre 2019 ;
"les travailleurs exposés hors site dans l’ensemble de la zone d’étude"  : les salariés ayant travaillé dans un établissement situé dans la zone d’étude sur la période considérée d’exposition du 26 septembre 2019 au 7 octobre 2019 (date de fin du feu couvant).
Des salariés n’appartenant pas à l’un de ces trois groupes mais présentant des caractéristiques similaires seront tirés au sort par la CNAV et la CNRACL.