AgentPublic/cnil huggingface dataset:
71. Tout d’abord, s’agissant de la société [...], la formation restreinte relève que les informations et identifiants déposés et / ou lus par la société [...] permettent d’alimenter les outils publicitaires que cette dernière développe et qui font, notamment, partie de [...] intégré aux téléphones vendus par la société [...]. Le système d’exploitation embarqué sur les terminaux mobiles est commercialisé en France sur les seuls produits de la société [...] par l’intermédiaire de la société [...]. Cette dernière, qui a pour mission de commercialiser spécifiquement en France les terminaux fabriqués par le groupe [...], en offrant par ailleurs un ensemble de services, contribue à promouvoir les produits du groupe [...]. Ainsi, dans la mesure où chaque téléphone vendu par la société [...] contient par défaut l’application [...], la formation restreinte considère que l’activité de cette dernière contribue directement et nécessairement à ce que les personnes détenant un iPhone puissent accéder à [...] et y effectuent des recherches dont les résultats seront personnalisés par la société [...].
72. En outre, s’agissant de la société [...], la formation restreinte relève que, dans le cadre du service " [...] " mis en œuvre par la société [...] permettant aux développeurs de promouvoir leur application auprès des utilisateurs sur [...], la société [...]emploie des " [...]". Selon la société, leur rôle est " d’assister les éditeurs d’applications afin de les aider à comprendre les outils fournis par [...] dans [...], et d’émettre des recommandations sur la meilleure façon d’optimiser leur campagne et de structurer ces dernières, en les assistant, par exemple, sur les choix des mots clefs à utiliser pour la campagne en fonction de l’application à promouvoir et de les aider à choisir des critères de ciblage (géographie, âge, etc.) ". Dès lors, les informations et identifiants déposés et / ou lus par la société [...] permettent aux développeurs qui souhaitent que leurs applications soient présentées dans [...] de mieux cibler leur audience. La circonstance que les " [...]" n’aient généré qu’une " différence insignifiante de revenu " ou n’exercent pas directement eux-mêmes une activité " de promotion et de commercialisation d’outils publicitaires " est inopérante.
73. En conséquence, la formation restreinte estime qu’un lien indissociable est établi entre, d’une part, l’opération de lecture et / ou d’écriture d’informations pour authentifier le [...] d’un compte utilisateur ainsi que celles des identifiants [...] et [...] dans les terminaux mobiles équipés du système d’exploitation [...] des utilisateurs résidant en France lors de l’utilisation de l’[...] par la société [...] et, d’autre part, les activités des sociétés [...] en ce qu’elle conseille les développeurs d’applications dans leurs campagnes publicitaires et [...] en tant que promoteur du système d’exploitation [...] .
74. La formation restreinte relève que les deux critères prévus à l’article 3, paragraphe I, de la loi Informatique et Libertés sont donc réunis.
75. Il en résulte que le droit français est applicable et que la CNIL est matériellement et territorialement compétente pour exercer ses pouvoirs, parmi lesquels celui de prendre des sanctions concernant les traitements relevant du champ d’application de la directive " ePrivacy ".
B. Sur la procédure
76. En défense, la société fait d’abord valoir que la procédure de sanction est fondée sur des faits obsolètes ou qui n’ont pas fait l’objet de constatations. Elle indique que le " rapport se concentre sur la version [...], le système d’exploitation des […], qui n’est pas la version [[...]] à jour " et que, dès lors, " contrairement à ce qu’affirme le Rapporteur […] le réglage des publicités personnalisées n’était donc en aucun cas activé " par défaut " à la date du Rapport. En outre, [...]était disponible pendant la majeure partie de la procédure de contrôle et d’instruction ayant précédé la communication du rapport ". Au cours de la séance devant la formation restreinte, la société a également fait valoir que dans la mesure où la délégation de contrôle de la CNIL n’a pas créée de compte à l’occasion de l’initialisation du téléphone lors de ses investigations, elle n’a pour cette raison pas pu matériellement constater les opérations de lecture et°/ou d’écriture sur lequel le rapporteur se fonde pour caractériser son manquement à l’article 82 de la loi Informatique et Libertés.
77. La société fait ensuite valoir que la procédure suivie par la CNIL ne respecte pas le droit à un procès équitable ainsi que les principes de prévisibilité et de sécurité juridique, tel que garantis par les articles 6 et 7 de la Convention de sauvegarde des droits de l’homme et des libertés fondamentales. S’agissant du droit à un procès équitable, la société considère d’abord que son droit de ne pas participer à sa propre incrimination a été violé dans la mesure où, durant la phase d’investigation, elle a volontairement transmis des documents qui ont ensuite été retenus comme étant des " preuves à charge contre elle " dans le cadre de la procédure de sanction. Elle soutient que ces éléments ont été obtenus par la contrainte ou les pressions du fait qu’elle était obligée de répondre aux demandes de la CNIL en application de l’article 18 de la loi Informatique et Libertés. Dès lors, elle considère que la formation restreinte devrait clore la procédure en l’état. La société considère ensuite qu’elle n’a pas bénéficié du temps nécessaire pour préparer équitablement sa défense car ses demandes tendant à obtenir une prolongation du délai pour répondre au rapporteur ont été systématiquement refusées. Elle soutient que des " délais de distance " auraient dû être appliqués du seul fait qu’elle ne se trouve pas sur le territoire métropolitain. Elle fait en outre valoir que le principe de l’égalité des armes n’a pas été respecté car elle n’a pas bénéficié d’un délai suffisant pour
préparer les traductions en langue anglaise des " documents essentiels de la procédure de sanction ", à savoir le rapport et la réponse du rapporteur. Enfin, la société fait valoir que le " rapporteur n’a pas inclus dans ses écritures la lettre d’[...] à la CNIL en date du 30 mars 2022 dans laquelle elle a présenté des observations détaillées sur le procès-verbal de l’audition du 16 mars 2022 […] ". S’agissant de la violation des principes de prévisibilité et de sécurité juridique, la société [...] considère qu’elle " ne pouvait pas raisonnablement prévoir qu’elle [la société [...]] allait être mise en cause dans la présente procédure " alors qu’elle n’a " jamais reçu de demande ou de question de la CNIL ". Elle demande donc que les éléments relatifs à cette entité soient écartés.
1. Sur les faits sur lesquels se fonde la procédure
78. La formation restreinte relève tout d’abord que la version […] du système d’exploitation de […] était le système disponible au jour du contrôle en ligne du 16 juin 2021 et qu’il est donc légitime que l’analyse de la conformité des traitements mis en œuvre ait porté sur ce système. Si la formation restreinte note les efforts que la société a en cours de procédure mis en œuvre pour créer de nouveaux paramètres sollicitant les utilisateurs pour accepter que des informations soient inscrites et / ou lues dans leur terminal, il n’en demeure pas moins que le manquement retenu par le rapporteur est circonscrit à la version […] du système d’exploitation de […], sur la base des constations faites par la délégation de contrôle de la CNIL. La formation restreinte constate que la matérialité des opérations de lecture et/ou d’écriture d’informations sur le terminal des utilisateurs au sens de l’article 82 de la loi Informatique et Libertés, ressort des réponses apportées par la société aux contrôles sur pièces et l’existence de ces opérations est dès lors établie au dossier pour les utilisateurs des versions antérieures à la version […].
79. En conséquence, la formation restreinte considère qu’il résulte de ces éléments que la procédure n’est pas fondée sur des " faits obsolètes ".
2. Sur le respect du droit à un procès équitable et des principes de prévisibilité et de sécurité juridique
80. La formation restreinte considère tout d’abord que, contrairement à ce que soutient la société, les éléments visés dans ses écrits n’ont pas été obtenus par la contrainte ou la pression. Elle souligne que le droit de ne pas contribuer à sa propre incrimination a notamment pour objectif d’éviter, par l’exercice de pressions pour l’obtention de preuve, les erreurs judiciaires. Elle note également qu’aux termes de la jurisprudence de la Cour européenne des droits de l’homme, le droit de ne pas s’incriminer soi-même " ne s’étend pas à l’usage, dans une procédure pénale, de données que l’on peut obtenir de l’accusé en recourant à des pouvoirs coercitifs mais qui existent indépendamment de la volonté du suspect, par exemple les documents recueillis en vertu d’un mandat " (CEDH, Saunders c. Royaume-Uni, 17 décembre 1996).
81. En l’espèce, l’ensemble des informations recueillies par la CNIL l’ont été dans le cadre d’une procédure de contrôle fondée sur l’article 19 de la loi Informatique et Libertés, par le biais de contrôles sur pièces et sur place, ainsi que dans le cadre d’une audition qui a été sollicitée par la société. Si les dispositions de l’article 18 de la loi " Informatique et Libertés " obligent les organismes contrôlés à fournir à la CNIL les renseignements demandés, la formation restreinte constate sur ce point que les informations fournies par la société contenaient exclusivement des éléments de faits objectifs, décrivant l’architecture technique de son traitement " [...] ".
82. La formation restreinte rappelle, ensuite, que lorsque la délégation de contrôle sollicite des informations, notamment des informations factuelles, de la part d’un organisme, aucune accusation n’est encore portée à son encontre, de sorte que la phase " contradictoire ", telle qu’entendue par la jurisprudence de la Cour européenne des droits de l’homme, n’est pas encore entamée. La formation restreinte constate en outre qu’ensuite, la société a eu tout le loisir de contester les constatations établies par la délégation de contrôle et leur analyse par le rapporteur.
83. Ensuite, concernant le droit de disposer du temps et des facilités nécessaires à la préparation de sa défense, la formation restreinte rappelle que ce droit est l’une des composantes du droit à un procès équitable contenu à l’article 6 de la Convention de sauvegarde des droits de l’homme et des libertés fondamentales et qui doit, conformément à la jurisprudence de la Cour européenne des droits de l’homme, être analysé à la lumière de sa fonction dans le contexte général de la procédure (voir entre autres, Mayzit c. Russie, 20 janvier 2005).
84. Au surplus, en application notamment de l’article 40 du décret n° 2019-536 du 29 mai 2019, la mise en œuvre du principe du contradictoire signifie que tout document, tout argument, toute pièce, tout courrier de réponse doit être communiqué au mis en cause, au rapporteur et à la formation restreinte. Cet article prévoit que le responsable de traitement à qui est notifié un rapport proposant une sanction dispose, tout d’abord, d’un délai d’un mois pour transmettre ses observations à la formation restreinte et au rapporteur. Lorsque les circonstances de l’espèce ou la complexité de l’affaire le justifient, le président de la formation restreinte peut décider, sur demande de l’organisme mis en cause, de prolonger, dans la limite d’un mois, ce délai. Ce même article octroie ensuite au responsable de traitement un second délai d’un mois pour répondre aux observations en réponse du rapporteur. Ces délais sont de nature à garantir le respect des droits de la défense. Enfin, le responsable de traitement peut présenter des observations orales lors de la séance devant la formation restreinte.
85. En l’espèce, la formation restreinte relève que la société a bénéficié d’un délai d’un mois et 23 jours pour produire ses observations, étant rappelé que l’article 40 du décret n° 2019-536 du 29 mai 2019 impose un délai minimum d’un mois. Par ailleurs, comme rappelé par le Conseil d’Etat dans sa décision Société GOOGLE LLC du 19 juin 2020, " aucune règle ni aucun principe n’impose l’institution, en matière de procédure administrative de sanction, d’un délai de distance, applicable aux requérants domiciliés hors de la France métropolitaine " (CE, 10ème et 9ème chambres réunies, 27 juin 2022, société GOOGLE LLC, n° 430810, pt 13). Enfin, compte tenu de ce que la société a disposé d’un nouveau délai pour présenter des observations écrites à la réponse du rapporteur, et qu’elle a eu la faculté de s’exprimer de nouveau devant la formation restreinte, cette dernière considère qu’il n’a pas été porté atteinte aux droits de la défense de la société.
86. En outre, s’agissant de la mise en cause de la société [...] dans la procédure, la formation restreinte relève que la décision de la présidente de la Commission d’engager une procédure de sanction ne vise que la société [...]. Elle estime donc que contrairement à ce qui est soutenu, la société [...] n’est pas mise en cause dans la présente procédure. Elle considère également que les éléments introduits par le rapporteur dans ses écrits concernant cette société n’ont pas entravé la préparation de la société [...] dans sa défense, dans la mesure où ils avaient été communiqués par la société [...] elle-même concernant son appartenance au groupe [...] ou étaient publiquement accessibles au registre du commerce et des sociétés concernant son objet social.
87. Enfin, la formation restreinte estime que " l’omission " du courrier du 30 mars 2022, pour reprendre les termes de la société, ne la prive pas de garanties procédurales. Cette pièce versée au débat par la société [...] a été examinée par la formation restreinte, qui au demeurant n’est pas en possession de pièces dont la société n’aurait pas eu connaissance.
88. En conséquence, la formation restreinte considère qu’il résulte de ces éléments que le droit de la société à un procès équitable ainsi que les principes de prévisibilité et de sécurité juridique ont été respectés.
C. Sur le manquement aux dispositions de l’article 82 de la loi Informatique et Libertés s’agissant de la version [...]
89. Ainsi qu’il l’a été rappelé au point 36, l’article 82 de la loi informatique et libertés constitue la transposition en droit interne de l’article 5(3) de la directive " ePrivacy ".
90. Le rapporteur, pour proposer à la formation restreinte de considérer que la société a méconnu ses obligations résultant de l’article 82 de la loi Informatique et Libertés, se fonde sur le fait que les opérations de lecture et /ou d’écriture d’informations pour authentifier le [...] d’un compte utilisateur et des identifiants [...] et [...] sur le terminal de l’utilisateur à des fins publicitaires, nécessite que ce dernier ait donné son consentement préalable, dans les conditions prévues par les dispositions de l’article 82 de la loi du 6 janvier 1978 modifiée, telles qu’éclairées par l’article 4, paragraphe 11, du RGPD.
91. Or, le rapporteur relève d’abord qu’il ressort des constatations effectuées qu’au terme du parcours d’initialisation du téléphone équipé de la version [...] du système d’exploitation, aucun mécanisme destiné à recueillir le consentement préalable de l’utilisateur aux opérations consistant à lire les informations et identifiants précités sur son terminal ne lui a été présenté. Le rapporteur relève ensuite qu’une fois l’initialisation du téléphone achevée, la délégation a constaté que l’onglet intitulé " Publicités personnalisées " figurant dans le menu relatif à la " Publicité [...] " des paramètres de confidentialité était activé. Il considère dès lors que le parcours utilisateur de la version [...] du système d’exploitation ne permettait pas un recueil du consentement valable dans les conditions prévues par l’article 82 précité.
92. Le rapporteur relève ensuite que la société a indiqué avoir déployé une mise à jour du système d’exploitation [...] le 20 septembre 2021. Cette mise à jour obligeait les nouveaux utilisateurs et ceux déjà équipés d’un terminal mobile de marque [...], pour lesquels le paramètre " Publicités personnalisées " était activé et qui pouvaient installer la mise à jour, à effectuer un choix lors du premier lancement de l’[...]. Ce choix se manifeste par un acte positif et il convient de cliquer sur le bouton " Activer les publicités personnalisées " ou le bouton " Désactiver les publicités personnalisées ", et porte donc sur l’acceptation par l’utilisateur que ses données à caractère personnel fassent l’objet d’un traitement à des fins de publicité ciblée. Il relève que cette nouvelle fenêtre constitue une amélioration en matière de recueil du consentement, dans la mesure où un choix relatif à la publicité ciblée est proposé à l’utilisateur et pourrait, dès lors, constituer un mécanisme valable de recueil du consentement à la lecture des informations et identifiants précités sur le terminal de l’utilisateur, en application de l’article 82 de la loi précitée. Néanmoins, le rapporteur relève que la mention " [...] ne suit pas vos activités " est trompeuse, dans la mesure où des opérations de lecture et /ou d’écriture d’informations et identifiants précités sur le terminal mobile des utilisateurs sont mises en œuvre à des fins publicitaires. Dès lors, il subordonne cette conformité
à trois conditions : que la fenêtre soit rédigée en langue française, que la mention " [...] ne suit pas vos activités " soit amendée et qu’aucun identifiant ne soit utilisé pour des finalités publicitaires avant qu’un consentement de l’utilisateur ait été valablement recueilli via cette fenêtre.
93. En défense, la société soutient d’abord, ainsi qu’il a été développé au point 47, que les traitements qu’elle met en œuvre ne relèvent pas du champ d’application de la directive " ePrivacy " ou bénéficient de l’exemption du recueil du consentement au sens de l’article 82 de la loi Informatique et Libertés. La société fait ensuite valoir que la nouvelle fenêtre destinée à recueillir le consentement sous la nouvelle version [...] du système d’exploitation a toujours été disponible en langue française. Elle considère que les informations fournies ne peuvent être considérées comme trompeuses ou insuffisamment précises mais indique en tout état de cause compléter la mention " [...] ne suit pas vos activités " par " [...] ne suit pas vos activités sur les apps et les sites d’entreprises tierces ". Elle précise que cette modification sera effective d’ici le mois de mars 2023. Elle confirme enfin qu’aucun identifiant n’est stocké dans le terminal ou bien lu pour des finalités publicitaires avant que cette fenêtre ne soit présentée à l’utilisateur.
94. En premier lieu, la formation restreinte rappelle, ainsi qu’elle l’a développé aux points 49 et suivants, qu’elle considère que la société [...] effectue des opérations de lecture et /ou d’écriture sur le terminal de l’utilisateur.
95. La formation restreinte rappelle que l’article 82 de la loi Informatique et Libertés exige un consentement aux opérations de lecture et d’écriture d’informations dans le terminal d’un utilisateur mais prévoit des cas spécifiques dans lesquels certains traceurs bénéficient d’une exemption au consentement : soit lorsque celui-ci a pour finalité exclusive de permettre ou faciliter la communication par voie électronique, soit lorsqu’il est strictement nécessaire à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur.
96. La formation restreinte relève à ce titre que la Commission précise, dans ses lignes directrices du 17 septembre 2020, que " l’utilisation d’un même traceur pour plusieurs finalités, dont certaines n’entrent pas dans le cadre de ces exemptions, nécessite de recueillir préalablement le consentement des personnes concernées, dans les conditions rappelées par les présentes lignes directrices. À titre d’exemple, dans le cas d’un service offert via une plate-forme nécessitant l’authentification des usagers (" univers logué "), l’éditeur du service pourra utiliser un cookie pour authentifier les utilisateurs sans demander leur consentement (car ce cookie est strictement nécessaire à la fourniture du service de communication en ligne). En revanche, il ne pourra utiliser ce même cookie pour des finalités publicitaires que si ces derniers ont effectivement consenti préalablement à cette finalité spécifique ".
97. La formation restreinte considère qu’afin de déterminer si les opérations de lecture et /ou d’écriture d’identifiants multi-finalités, tel que les identifiants [...], [...] et [...], sur le terminal des utilisateurs nécessite le recueil préalable de leur consentement, il convient de déterminer si les finalités annoncées par la société sont toutes exemptées de recueil du consentement.
98. S’agissant des informations rattachées au [...], la formation restreinte considère que si cet identifiant est créé pour chaque compte utilisateur sur les serveurs du groupe [...], des " informations " sont lues sur l’équipement terminal de ce dernier pour permettre d’associer les requêtes émises à un compte utilisateur (c’est-à-dire le fait que l’utilisateur effectue une recherche, télécharge ou achète des applications dans [...]) et, plus tard, d’affecter cet utilisateur unique à des segments au sein d’un univers nécessitant une authentification (univers dit " authentifié " ou " logué "), en l’espèce [...]. Quand bien même la principale fonction de ces " informations " seraient de permettre l’authentification d’un utilisateur au sein d’un univers logué – et serait qualifiée de finalité essentielle car strictement nécessaire à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur - , la circonstance que les informations collectées grâce à ces traceurs puissent être utilisées pour permettre la segmentation à des fins publicitaires empêche nécessairement lesdits traceurs de rentrer dans les catégories de traceurs dont la lecture est exemptée de recueil du consentement au sens de l’article 82 précité. La formation restreinte estime dès lors que la société accède à des informations visant à maintenir la connexion authentifiée, pour plusieurs finalités : d’une part, l’authentification puis le maintien de l’utilisateur au sein de l’univers
authentifié de [...] et d’autre part, la collecte des traces d’activité de l’utilisateur dans le cadre de [...] afin de l’affecter ou de le réaffecter à un ou plusieurs segments qui serviront par la suite à lui adresser des annonces personnalisées destinées à promouvoir les applications mobiles sur [...].
99. S’agissant du remplacement d’informations rattachées au [...] par les identifiants [...] et i[...]d sur le terminal des utilisateurs, la formation restreinte relève d’abord que la lecture des identifiants [...] et [...] qui sont stockés dans l’équipement terminal de l’utilisateur et leur envoi aux serveurs de la société ont pour objectif de diffuser des annonces pour des applications ciblées en fonction du profil de l’utilisateur. Dès lors, la formation restreinte considère que ces opérations poursuivent une finalité publicitaire et n'ont ainsi pas pour finalité exclusive de permettre ou de faciliter la communication par voie électronique, ni ne sont strictement nécessaires à la fourniture d'un service de communication en ligne à la demande expresse de l'utilisateur, au sens de l’article 82 de la loi Informatique et Libertés.