AgentPublic/cnil huggingface dataset:
90. La formation restreinte relève tout d’abord, à titre d’éclairage, que s’agissant du caractère aisément accessible de l’information, le G29 précise, dans ses lignes directrices du 11 avril 2018 sur la transparence au sens du règlement (UE) 2016/679, que " le critère " aisément accessible " signifie que la personne concernée ne devrait pas avoir à rechercher les informations mais devrait pouvoir tout de suite y accéder : par exemple, ces informations pourraient être communiquées aux personnes concernées directement ou au moyen d’un lien qui leur serait adressé […] ". Il " recommande à titre de bonne pratique que, dans un contexte en ligne, un lien vers la déclaration ou l’avis sur la protection de la vie privée soit fourni au point de collecte des données à caractère personnel, ou que ces informations soient consultables sur la même page que celle où les données à caractère personnel sont collectées ". Ces lignes directrices précisent également que les informations " devraient être clairement différenciées des autres informations non liées à la vie privée telles que des clauses contractuelles ou des modalités d’utilisation générale ". Les lignes directrices indiquent que "la personne concernée ne doit pas avoir à chercher activement les informations couvertes par [les articles 13 et 14] parmi d’autres informations telles que les conditions d’utilisation d’un site […] ".
91. En l’espèce, la formation restreinte remarque que, lors du contrôle en ligne du 26 mai 2020, en suivant le parcours d’inscription d’un utilisateur sur l’application, il a été constaté que, pour s’inscrire, un utilisateur devait renseigner différentes données à caractères personnel (prénom, nom, date de naissance, coordonnées) sur un formulaire d’inscription. Il a également été constaté que le formulaire d’inscription contenait un lien renvoyant vers les conditions générales d’utilisation. Dans ce document, se trouvait un lien vers la politique de confidentialité de la société, dans laquelle étaient présentées les informations prévues à l’article 13 du RGPD.
92. La formation restreinte relève que la page du formulaire d’inscription ne permettait ainsi pas à l’utilisateur d’accéder directement à une information exhaustive relative à la protection des données dans la mesure où un parcours de plusieurs clics était nécessaire pour l’obtenir. Elle note également que, pour prendre connaissance des informations relatives à la protection des données à caractère personnel, les personnes étaient amenées à les rechercher parmi les conditions générales d’utilisation. Or, la présentation des informations relatives à la protection des données à caractère personnel dans un document accessible depuis un lien présent dans les conditions générales d’utilisation du site web ne saurait être regardée comme satisfaisant aux exigences d’une information aisément accessible. En effet, s’il n’est pas nécessaire de faire figurer les informations visées par l’article 13 du RGPD dès le formulaire de collecte, celui-ci doit, à tout le moins, présenter un moyen tel qu’un lien hypertexte permettant à l’utilisateur de prendre aisément connaissance de l’ensemble des informations obligatoires.
93. La formation restreinte prend acte de ce que la société a mis en conformité le formulaire d’inscription sur ce point au cours de la procédure.
94. Cependant, elle retient que, à la date du contrôle, le manquement relatif à l’absence d’information directement publiée ou accessible sur l’interface de recueil des données à caractère personnel a été caractérisé au regard des dispositions de l’article 12 du Règlement. 
III. Sur la sanction et la publicité
95. Aux termes du III de l’article 20 de la loi du 6 janvier 1978 modifiée :
" Lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l'informatique et des libertés peut également, le cas échéant après lui avoir adressé l'avertissement prévu au I du présent article ou, le cas échéant en complément d'une mise en demeure prévue au II, saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l'une ou de plusieurs des mesures suivantes : […]
7° À l'exception des cas où le traitement est mis en œuvre par l'État, une amende administrative ne pouvant excéder 10 millions d'euros ou, s'agissant d'une entreprise, 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l'article 83 du règlement (UE) 2016/679 du 27 avril 2016, ces plafonds sont portés, respectivement, à 20 millions d'euros et 4 % dudit chiffre d'affaires. La formation restreinte prend en compte, dans la détermination du montant de l'amende, les critères précisés au même article 83 ".
96. L’article 83 du RGPD prévoit que " Chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour des violations du présent règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives ", avant de préciser les éléments devant être pris en compte pour décider s'il y a lieu d’imposer une amende administrative et pour décider du montant de cette amende.
97. La formation restreinte rappelle qu’elle doit tenir compte, pour le prononcé d’une amende administrative, des critères précisés à l’article 83 du RGPD, tels que la nature, la gravité et la durée de la violation, les mesures prises par le responsable du traitement pour atténuer le dommage subi par les personnes concernées, le degré de coopération avec l’autorité de contrôle et les catégories de données à caractère personnel concernées par la violation.
98. En premier lieu, en ce qui concerne le prononcé d’une amende, la formation restreinte considère d’abord que la société a fait preuve de défaillances graves en matière de protection des données à caractère personnel puisque des manquements sont constitués à des principes fondamentaux et élémentaires du RGPD que sont les principes de minimisation des données, de limitation de la durée de conservation des données et d’accessibilité de l’information.
99. La formation restreinte relève ensuite que l’atteinte aux droits des personnes qui résulte du manquement au principe de minimisation des données à caractère personnel est particulièrement importante, au regard de la nature particulière des données de géolocalisation. En effet, la société procède à une collecte quasi permanente de données de géolocalisation des utilisateurs des véhicules qu’elle loue. La collecte quasi permanente de ces données géolocalisation est particulièrement intrusive pour les utilisateurs de véhicules de location. En effet, elle permet de suivre l’ensemble des trajets réalisés par l’utilisateur, d’identifier les lieux où il se rend, pouvant révéler ainsi des informations sur son comportement, ses habitudes de vie, ce qui est susceptible de porter atteinte à sa liberté de circulation et à sa vie privée. 
100. La formation restreinte souligne également que les données à caractère personnel traitées par la société concernent environ […] utilisateurs (clients et prospects), répartis sur le territoire de six États membres de l’Union européenne.
101. En ce qui concerne la durée de conservation des données, d’une part, des données de géolocalisation des utilisateurs ont été conservées pendant une période excessive, qui n’était pas liée au terme du contrat de location, sans justification particulière. D’autre part, la société conserve des données à caractère personnel au-delà des durées de conservation qu’elle a définie, en méconnaissance de l’effectivité de sa politique de durée de conservation, ce qui révèle une négligence certaine en la matière.
102. En outre, il est d’autant plus important, dans le contexte de la collecte de données de géolocalisation, que la société fournisse aux personnes concernées une information de manière transparente et accessible, au sens de l’article 12 du RGPD. En effet, les personnes concernées doivent être mises en mesure de comprendre quelles données sont collectées, comment ces données sont utilisées et quels sont leurs droits. La formation restreinte relève à cet égard qu’au regard de l’essor de la collecte de données de géolocalisation, notamment dans le cadre des services de mobilité partagée, les responsables de traitement doivent être particulièrement vigilants et transparents dans le traitement de ces données. 
103. En conséquence, la formation restreinte considère qu’il y a lieu de prononcer une amende administrative au regard des manquements aux articles 5.1.c, 5.1.e et 12 du RGPD.
104. En deuxième lieu, s’agissant du montant de l’amende, la formation restreinte rappelle que le paragraphe 3 de l’article 83 du Règlement prévoit qu’en cas de violations multiples, comme c’est le cas en l’espèce, le montant total de l’amende ne peut excéder le montant fixé pour la violation la plus grave. Dans la mesure où il est reproché à la société un manquement aux articles 5.1.c, 5.1.e et 12 du Règlement, le montant maximum de l’amende pouvant être retenu s’élève à 20 millions d’euros ou 4% du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu.
 
105. La formation restreinte rappelle que les amendes administratives doivent être effectives, proportionnées et dissuasives. Elle considère en particulier que l’activité de l’organisme et sa situation financière doivent être notamment prises en compte pour la détermination de la sanction et notamment, en cas d’amende administrative, de son montant. Elle relève à ce titre que la société fait état d’un chiffre d’affaires en 2020 s’établissant à environ […] euros pour un résultat net […] euros. […] . La formation restreinte rappelle également que la société est une filiale du groupe […]. Ce groupe a réalisé un chiffre d’affaires moyen de […] euros sur les années 2018, 2019 et 2020. 
106. Dès lors, au regard des critères pertinents de l’article 83, paragraphe 2, du RGPD évoqués ci-avant, la formation restreinte considère que le prononcé d’une amende administrative de 175 000 euros apparaît proportionné.
107. En troisième lieu, s’agissant de la publicité de la sanction, la formation restreinte considère que, au regard de la pluralité des manquements relevés, de leur gravité et de la nature particulière des données concernées, la publicité de la présente décision se justifie. 
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide de :
- prononcer à l’encontre de la société X une amende administrative d’un montant de 175 000 (cent soixante-quinze mille) euros au regard des manquements constitués aux articles 5.1.c, 5.1.e et 12 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données. 
- rendre publique, sur le site de la CNIL et sur le site de Légifrance, sa délibération, qui n’identifiera plus nommément la société X à l’expiration d’un délai de deux ans à compter de sa publication.
 Le président
 Alexandre LINDEN
Cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’État dans un délai de deux mois à compter de sa notification.
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de messieurs Alexandre LINDEN, président, et Philippe-Pierre CABOURDIN, vice-président, et de mesdames Anne DEBET et Christine MAUGÜÉ ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi no 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;
Vu le décret no 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi
no 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la délibération no 2021-024 du 31 décembre 2021 prononçant une injonction à l’encontre de la société X;
Vu les éléments transmis par la société X les 1er février et 1er avril 2022 pour démontrer sa conformité à l’injonction ;
Vu le courrier du 5 avril 2022 par lequel le président de la formation restreinte a demandé au rapporteur d’intervenir à nouveau dans la procédure pour effectuer des vérifications complémentaires ;
Vu la décision de contrôle n° 2022-063C du 7 avril 2022 de la présidente de la Commission nationale de l'informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements accessibles à partir du domaine " [...].com " ou portant sur des données à caractère personnel collectées à partir de ce dernier ;
Vu le courrier de Madame Valérie PEUGEOT, commissaire rapporteure, notifié aux conseils de la société X le 20 mai 2022 ;
Vu les observations en réponse versées par les conseils de la société X le 7 juin 2022 ;
Vu les autres pièces du dossier ;
Après en avoir délibéré, a adopté la décision suivante :
Faits et procédure
La délibération no 2021-024 du 31 décembre 2021 a enjoint à la société X de :
" modifier, sur le site web " [...].com", les modalités de recueil du consentement des utilisateurs situés en France aux opérations de lecture et/ou d’écriture d’informations dans leur terminal, en leur offrant un moXen de refuser ces opérations présentant une simplicité équivalente au mécanisme prévu pour leur acceptation, afin de garantir la liberté de leur consentement ".
Cette injonction était assortie d’une astreinte de 100 000 euros par jour de retard à l’issue d’un délai de trois mois suivant la notification de la délibération, les justificatifs de la mise en conformité devant être adressés à la formation restreinte dans ce délai.
Les 1er février et 1er avril 2022, dans le délai fixé par la délibération, la société X, qui a succédé à la société X, a adressé au président de la formation restreinte des éléments en vue de justifier de sa mise en conformité, en présentant les changements déploXés sur le site web " [...].com " à partir de la fin du mois de février.
Par courrier du 5 avril 2022, le président de la formation restreinte a demandé à la rapporteure d’intervenir à nouveau aux fins d’instruction de ces éléments, sur le fondement de l’article 44 du décret n°2019-536 du 29 mai 2019, pour s’assurer que le mécanisme de refus proposé par la société est bien effectif.
Afin de pouvoir procéder aux diligences utiles sur le fondement de l’article 39 du décret précité, la rapporteure a demandé à la présidente de la Commission, par un courrier électronique du 7 avril 2022, de charger le secrétaire général de faire procéder à une mission de vérification des traitements mis en œuvre sur le site web " [...].com ".
Le 12 avril 2022, une délégation de la CNIL a effectué un contrôle en ligne sur le site web " [...].com ", au cours duquel elle a constaté le présence dans son terminal d’un cookie dénommé " oo ", dont le dépôt n’avait pas été constaté lors du contrôle en ligne du 8 avril 2021 à l’origine de la procédure de sanction.
Par courrier notifié à la société le 20 mai 2022, la rapporteure a demandé à la société de lui indiquer, dans un délai de quinze jours, " la finalité (par exemple : technique, publicitaire, bouton de partage de réseau social, mesure d’audience, etc.) du cookie dénommé " oo " dont le dépôt a été constaté dans le cadre du contrôle en ligne du 12 avril 2022, en fournissant toute documentation nécessaire pour en attester ".
Par courrier en réponse du 7 juin 2022, la société a apporté les précisions demandées.
Motifs de la décision
La formation restreinte relève qu’il ressort des éléments fournis par la société dans ses différents courriers que les personnes se rendant sur le site web " [...].com " se voient désormais proposées un moXen de refuser les opérations de lecture et/ou d’écriture d’informations dans leur terminal présentant une simplicité équivalente au mécanisme prévu pour leur acceptation.
Après analXse des modalités proposées, la formation restreinte considère que la société X a satisfait à l’injonction dans le délai imparti.
Cette décision sera rendue publique comme l’avait été la délibération no 2021-024 du 31 décembre 2021.
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide :
qu’il n’X a pas lieu à liquidation d’astreinte ;
de rendre publique, sur le site de la CNIL et sur le site de Légifrance, sa délibération, qui n’identifiera plus nommément la société à compter du 6 janvier 2024.
Le Président
Alexandre LINDEN
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l'intérieur d'une demande d'avis concernant un projet de décret en Conseil d'Etat portant création d'un traitement automatisé de données à caractère personnel dénommé dispositif de pré-enregistrement et modifiant le code de la sécurité intérieure ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (RGPD) ;
Vu le règlement (UE) 2017/2225 du Parlement européen et du Conseil du 30 novembre 2017 modifiant le règlement (UE) 2016/399 en ce qui concerne l'utilisation du système d'entrée/de sortie ;
Vu le règlement (UE) 2017/2226 du Parlement européen et du Conseil du 30 novembre 2017 portant création d'un système d'entrée/de sortie (EES) pour enregistrer les données relatives aux entrées, aux sorties et aux refus d'entrée concernant les ressortissants de pays tiers qui franchissent les frontières extérieures des Etats membres et portant détermination des conditions d'accès à l'EES à des fins répressives, et modifiant la convention d'application de l'accord de Schengen et les règlements (CE) n° 767/2008 et (UE) n° 1077/2011 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 32 ;
Après avoir entendu le rapport de M. François PELLEGRINI, commissaire, et les observations de M. Damien MILIC, commissaire adjoint du Gouvernement,
Emet l'avis suivant :
La Commission nationale de l'informatique et des libertés (ci-après la Commission ) a été saisie en urgence le 4 mai 2022 par le ministère de l'intérieur d'un projet de décret en Conseil d'Etat portant création d'un traitement automatisé de données à caractère personnel dénommé dispositif de pré-enregistrement et modifiant le code de la sécurité intérieure.
La création de ce traitement s'inscrit dans la perspective de l'entrée en service du système d'information européen d'entrée/de sortie ( entry-exit system , ou EES ), prévue pour fin novembre 2022, et d'une phase de tests préalables qui doit se tenir dès l'été.
Créé par le règlement (UE) 2017/2226 du 30 novembre 2017 (ci-après, le règlement EES ), le traitement EES permettra l'enregistrement par voie électronique des entrées, sorties et refus d'entrée des ressortissants de pays tiers admis pour un court séjour sur le territoire des Etats membres ou pour lesquels l'entrée a été refusée et de calculer la durée de séjour autorisé. L'EES, qui a vocation à remplacer le système actuel d'estampillage des passeports, permettra donc aussi de détecter les personnes ayant dépassé leur durée de séjour autorisée. Dès l'entrée en service du système, un dossier individuel, une fiche d'entrée, une fiche de sortie, et/ou une fiche de refus d'entrée seront créés pour chaque personne, éligible à l'EES, franchissant une frontière extérieure. A cette fin, les autorités frontalières des Etats membres devront obligatoirement collecter des données alphanumériques et biométriques (image faciale et empreintes digitales) de la personne concernée.
Par ailleurs, le règlement (UE) 2017/2225 du 30 novembre 2017 modifie le règlement (UE) 2016/399 (ou code frontières Schengen ) pour offrir la possibilité aux Etats membres de recourir à des systèmes en libre-service permettant d'effectuer les pré-enregistrements dans l'EES, ainsi que tout ou partie des vérifications aux frontières.
Indépendamment du choix de recourir ou non à un système en libre-service, et ainsi d'offrir aux voyageurs la faculté de se pré-enregistrer eux-mêmes dans l'EES, les autorités frontalières des Etats membres conserveront l'obligation de collecter les données alphanumériques et biométriques visées par le règlement EES .
Le ministère entend se saisir de la possibilité offerte par le règlement (UE) 2017/2225 précité en créant, via le présent projet de décret, un traitement de données à caractère personnel permettant l'utilisation d'un système en libre-service effectuant des vérifications aux frontières et utilisé pour le pré-enregistrement des données dans l'EES. Ainsi, ce traitement, dénommé dispositif de pré-enregistrement , aura pour finalités, pour les voyageurs par voie aérienne, maritime, routière et ferroviaire volontaires, d'améliorer et de faciliter les contrôles aux frontières extérieures (article 1er du projet de décret).
Le traitement projeté, qui permettra aux ressortissants de pays tiers soumis aux dispositions du règlement EES de se pré-enregistrer à partir de kiosques ou de dispositifs mobiles, reposera sur le seul volontariat. La Commission observe qu'une personne choisissant d'utiliser un dispositif de pré-enregistrement devra ensuite se présenter devant une aubette dédiée aux vérifications aux frontières, où un garde-frontière procédera, parmi d'autres opérations, à la vérification visuelle de la cohérence entre le visage de la personne et la photo collectée au sein du dispositif, le cas échéant à la vérification des empreintes digitales de cette personne, et à la validation du dossier EES et de la fiche d'entrée/de sortie.
Compte tenu des finalités poursuivies par le traitement projeté, qui relèvent du champ d'application du RGPD, et dans la mesure où le traitement est mis en œuvre pour le compte de l'Etat agissant dans l'exercice de ses prérogatives de puissance publique, qu'il porte sur des données biométriques nécessaires à l'authentification ou au contrôle de l'identité des personnes, il doit être autorisé par un décret en Conseil d'Etat, pris après avis motivé et publié de la Commission conformément à l'article 32 de la loi du 6 janvier 1978 modifiée. La responsabilité de traitement sera exercée par le ministre de l'intérieur.
Sur les conditions générales de mise en œuvre du traitement :
En premier lieu, la Commission observe que, s'agissant de la chronologie du déploiement du dispositif, la mise en œuvre généralisée de ce traitement pour l'alimentation de l'EES sera précédée d'une phase expérimentale visant à tester la conformité fonctionnelle et opérationnelle des dispositifs de pré-enregistrement en conditions réelles, avant l'entrée en service du système d'information européen. Si la Commission observe que ni le projet de décret, ni l'analyse d'impact relative à la protection des données (AIPD) qui lui a été transmise, ne distinguent les deux phases du traitement, elle prend acte de ce que l'AIPD sera mise à jour pour englober la phase d'expérimentation. Elle rappelle qu'elle devra le cas échéant être informée en cas de modification des conditions de mise en œuvre du traitement, conformément à l'article 33 de la loi du 6 janvier 1978 modifiée, et consultée sur toute modification du texte.