AgentPublic/cnil huggingface dataset:
83. S’agissant du manquement à l’obligation de coopérer avec les services de la CNIL, la formation restreinte considère que l’envoi par la société de traductions volontairement incomplètes du formulaire malgré plusieurs sollicitations, et la fourniture à la CNIL d’informations inexactes concernant l’arrêt de l’envoi du formulaire aux salariés démontrent la volonté de chercher à empêcher la CNIL d’exercer ses pouvoirs de contrôle.
84. Enfin, la formation restreinte relève que le fait que la société ait cessé d’envoyer le formulaire aux salariés n’exonère par la société de sa responsabilité pour les manquements constatés. 
85. En conséquence, la formation restreinte considère qu’il y a lieu de prononcer une amende administrative au regard des manquements constitués aux article 5- 1-c), 9, 10 et 31 du RGPD. 
b. Sur le montant de l’amende administrative
86. La formation restreinte relève d’abord que les manquements relatifs aux articles 5-1-c) et 9 du RGPD sont des manquements à des principes clé du RGPD, susceptibles de faire l’objet, en vertu de l’article 83 du RGPD, d’une amende administrative pouvant s’élever jusqu’à 20 000 000 euros et jusqu’à 4 % du chiffre d’affaires annuel, le montant le plus élevé étant retenu.
87. La formation restreinte rappelle ensuite que les amendes administratives doivent être à la fois dissuasives et proportionnées. La formation restreinte relève que la société […] a réalisé, en 2021, un chiffre d’affaires d’environ […] d’euros, pour un résultat net de […] euros environ, et en 2022, un chiffre d’affaires de […] d’euros, pour un résultat net […] euros.
88. Dès lors, au regard de la responsabilité de la société, de ses capacités financières et des critères pertinents de l’article 83 du Règlement évoqués ci-avant, la formation restreinte estime qu’une amende administrative d’un montant de deux cent mille euros, au regard des manquements constitués aux articles 5-1-c), 9, 10 et 31 du RGPD apparait justifié. 
B. Sur la publicité
89. Pour justifier cette demande de publicité, la rapporteure invoque notamment la gravité des manquements reprochés, dès lors qu’ils touchent à des principes clés du RGPD. La société conteste la proposition de la rapporteure de rendre publique la présente décision. Elle considère qu’au vu du risque pour la viabilité économique de la société et de sa bonne volonté, la publicité de la mesure de sanction serait disproportionnée. 
90. La formation restreinte considère que la publicité de la présente décision se justifie au regard de la gravité des manquements en cause et des catégories de données collectées par la société.
91. Enfin, la mesure est proportionnée dès lors que la décision n’identifiera plus nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide de :
• prononcer à l’encontre de la société […] une amende administrative d’un montant de deux cent mille euros (200 000 €) au regard des manquements constitués aux articles 5-1-c), 9, 10 et 31 du règlement (UE) n° 2016/679 du 27 avril 2016 relatif à la protection des données ;
• rendre publique, sur le site de la CNIL et sur le site de Légifrance, sa délibération, qui n’identifiera plus nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.
Le vice-président
Philippe-Pierre CABOURDIN
Cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’État dans un délai de deux mois à compter de sa notification.
La Commission nationale de l'informatique et des libertés,
Saisie par la Caisse nationale de l’assurance maladie et le ministère des solidarités et de la santé (direction de la recherche, des études, de l’évaluation et des statistiques – DREES) d’une demande de modification de l’autorisation concernant des traitements automatisés à des fins d’évaluation des expérimentations mises en œuvre au titre de l’article 51 de la loi n° 2017-1836 de financement de la sécurité sociale pour 2018 ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 66, 72 et suivants (loi "informatique et libertés") ;
Vu l’avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 17 mai 2023 ;
Vu la délibération n°2022-072 du 23 juin 2022 portant décision unique et autorisant la Caisse nationale de l’assurance maladie et le ministère de la santé et de la prévention (direction de la recherche, des études, de l’évaluation et des statistiques) à mettre en œuvre des traitements automatisés à des fins d’évaluation des expérimentations mises en œuvre au titre de l’article 51 de la loi n° 2017-1836 de financement de la sécurité sociale pour 2018 ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Valérie PEUGEOT, commissaire, et après avoir entendu les observations de M. Damien MILIC, commissaire du Gouvernement,
 
Remarques liminaires
Les projets mis en œuvre dans le cadre de l’article 51 de la loi n° 2017-1836 de financement de la sécurité sociale pour 2018 (ci-après "LFSS 2018") constituent des expérimentations dérogatoires à certaines dispositions du code de la sécurité sociale (CSS) et du code de la santé publique (CSP) relatives aux modes d’organisation et de financement, dans les secteurs sanitaire, médico-social et de prévention (ci-après "expérimentations de l’article 51"). Leur but est de permettre l’émergence d’organisations de soins innovantes en s’appuyant sur le développement de nouveaux modes de rémunération des professionnels de santé.
Le décret n° 2018-125 du 21 février 2018 relatif au cadre d’expérimentations pour l’innovation dans le système de santé en précise l’organisation générale. Les dispositions de l’article L. 162-31-1 du CSS prévoient la mise en œuvre d’une évaluation systématique des expérimentations de l’article 51.
En l’absence de conformité à la méthodologie de référence MR-004, cinquante-huit traitements à des fins d’évaluations ont pu être mis en œuvre à ce jour dans le cadre de l’autorisation délivrée par la CNIL (délibération n°2022-072 du 23 juin 2022), notamment après la délivrance d’une information individuelle à l’ensemble des personnes concernées.
Sur la modification substantielle apportée aux traitements de données
La modification envisagée porte sur les modalités d’information des patients ayant participé à certaines expérimentations faisant l’objet d’une évaluation prévue par le CSS.
Sont ainsi concernées les évaluations relatives aux expérimentations suivantes :
"cataracte" (pour les patients inclus entre mai 2021 et décembre 2022) ;
"pharmosys" (pour les patients inclus entre le 15 juillet 2021 et le 16 septembre 2022) ;
"pégase" (pour les patients inclus entre le 3 août 2019 et le 1er février 2023) ;
"santé protégée" (pour les patients inclus entre le 16 juin 2019 et décembre 2022) ;
"consultation santé migrants" (pour les patients inclus entre le 3 mars 2020 et février 2023) ;
"centres de santé sexuelle d’approche communautaire" (pour les patients inclus entre le 1er juillet 2021 et le 31 octobre 2022) ;
"equip’ addict" (pour les patients inclus entre le 15 novembre 2022 et le 31 décembre 2022).
Les patients inclus dans ces expérimentations (et/ou, le cas échéant, leurs représentants légaux) ont été informés individuellement de leur participation à l’expérimentation mais n’ont pas été informés (ou l’ont été de façon incomplète) de la réutilisation de leurs données à des fins d’évaluation du dispositif.
En application des dispositions de l’article 69 de la loi "informatique et libertés" et du Règlement général sur la protection des données (RGPD), les personnes auprès desquelles sont recueillies des données à caractère personnel ou à propos desquelles de telles données sont transmises doivent être individuellement informées du traitement des données de santé qui les concernent.
Par exception, l'obligation d'information individuelle de la personne concernée peut faire en effet l'objet d'exceptions dans l'hypothèse où la fourniture d'une telle information se révèle impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement. Dans ce cas, des mesures appropriées doivent être mises en œuvre par les responsables de traitement afin de protéger les droits et libertés des personnes concernées. Il peut s’agir notamment de la mise en œuvre d’une information collective (information sur le site web, affichage collectif, etc.)
En l’espèce, eu égard aux caractéristiques des expérimentations faisant l’objet d’une évaluation décrites dans le dossier de demande, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre par la diffusion d’une information collective sur :
le site web dédié aux expérimentations de l’article 51 du ministère de la santé et de la prévention ;
le site web de chaque responsable conjoint de traitement.
Les autres conditions de mise en œuvre des traitements autorisés par la CNIL dans sa délibération n°2022-072 du 23 juin 2022 restent inchangées.
Autorise, conformément à la présente délibération, la Caisse nationale de l’assurance maladie et le ministère de la santé et de la prévention (direction de la recherche, des études, de l’évaluation et des statistiques) à mettre en œuvre les traitements décrits ci-dessus pendant une durée de cinq ans.
La Présidente
Marie-Laure DENIS
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Alexandre LINDEN, président, M. Philippe-Pierre CABOURDIN, vice-président, Mmes Anne DEBET et Christine MAUGÜÉ, et MM. Alain DRU et Bertrand du MARAIS, membres ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;
Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la délibération n° SAN-2022-026 du 29 décembre 2022 adoptée par la formation restreinte à l’encontre de la société […] ;
Vu les éléments transmis par la société […] le 14 avril 2023 pour démontrer leur conformité à l’injonction ; 
Vu les autres pièces du dossier ;
Après en avoir délibéré lors de la séance du 13 juillet 2023, a adopté la décision suivante :
I. FAITS ET PROCÉDURE
1. La décision no SAN-2022-026 du 29 décembre 2022, notifiée à la société […] le 16 janvier 2023, a enjoint à cette dernière de :
"de recueillir le consentement de l’utilisateur à l’utilisation de l’IDFV à des fins publicitaires ".
2. Cette injonction était assortie d’une astreinte de vingt mille euros (20 000) euros par jour de retard à l’issue d’un délai de trois mois suivant la notification de la délibération de la formation restreinte, les justificatifs de la mise en conformité devant être adressés à la formation restreinte dans ce délai.
3. Le 14 avril 2023, la société […] a adressé au président de la formation restreinte des éléments en vue de justifier sa mise en conformité, en présentant la mise en œuvre, lors de l’ouverture d’un jeu édité par la société […] sur un terminal équipé du système d’exploitation iOS, d’un dispositif de recueil du consentement pour l’utilisation de l’ "identifier for vendors " (IDFV) à des fins de publicité ciblée, de mesure de la performance des contenus et d’amélioration de ses jeux et applications.
4. Il ressort des éléments produits par la société que lors de l’ouverture d’un jeu […], la sollicitation qu’elle présente apparaît préalablement à celle de la société APPLE (également dénommée "sollicitation ATT "), par laquelle celle-ci demande à l’utilisateur l’autorisation de suivre ses activités sur toutes les applications de son terminal grâce à la lecture de l’ "identifier for advertisers " (IDFA) à des fins de publicité ciblée. La société […] précise qu’en cas de refus de l’utilisation de l’IDFV, celui-ci ne pourra pas être lu par les partenaires ou par la société elle-même à des fins publicitaires, et ce, quel que soit le choix fait par l’utilisateur à la sollicitation ATT.
II. MOTIFS DE LA DECISION
5. La formation restreinte de la CNIL relève qu’il ressort des éléments fournis par la société qu’une première fenêtre apparaît lors de l’ouverture d’un des jeux qu’elle édite, préalablement à la sollicitation ATT. Cette fenêtre sollicite le consentement de l’utilisateur pour que la société […] et ses partenaires puissent recueillir "certaines données techniques, notamment l’identifiant publicitaire et l’adresse IP de l’utilisateur ", afin, d’une part, de "proposer des publicités personnalisées " et, d’autre part, de "mesurer la performance des contenus et améliorer les jeux et applications […] ".
6. Cette fenêtre présente des boutons glissants positionnés par défaut sur "absence de consentement " pour chacune de ces deux finalités.
7. La formation restreinte constate également qu’un second niveau d’information permet d’afficher la liste des partenaires destinataires en fonction de chaque finalité, de détailler les finalités, d’informer les utilisateurs de la possibilité de retirer leur consentement à tout moment et de les avertir que leur refus impliquera l’accès à une "version alternative du jeu comprenant un volume de publicités non ciblées potentiellement plus importantes ". 
8. Ainsi, au regard des éléments présentés par la société […] justifiant la mise en place d’un moyen permettant de recueillir le consentement de l’utilisateur à l’utilisation de l’IDFV à des fins publicitaires, la formation restreinte considère que la société a satisfait à l’injonction dans le délai imparti.
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide :
- de dire n’y avoir lieu à liquidation de l’astreinte ;
- de rendre publique, sur le site de la CNIL et sur le site de Légifrance, la présente délibération qui n’identifiera plus nommément la société à l’expiration d’un délai de deux ans, le point de départ étant la publication de la délibération n° SAN-2022-026 du 29 décembre 2022.
Le président
Alexandre LINDEN
Date de l’avis : 21 septembre 2023
N° de la délibération : n° 2023-090
N° de demande d’avis : 23010962 
Texte concerné :
loi n° 2019-1479 du 28 décembre 2019 de finances pour 2020 ;
décret n°2021-148 du 11 février 2021 portant modalités de mise en œuvre par la direction générale des finances publiques et la direction générale des douanes et droits indirects de traitements informatisés et automatisés permettant la collecte et l’exploitation de données rendues publiques sur les sites internet des opérateurs de plateforme en ligne.
Thématiques : lutte contre les fraudes fiscale et douanière, collecte et exploitation de contenus sur les plateformes et réseaux sociaux, traitements automatisés, intelligence artificielle.
Fondement de la saisine : article 8, I, 4°, a) de la loi du 6 janvier 1978 modifiée
L’essentiel :
La CNIL a été saisie pour avis par le ministère de l'économie, des finances et de la souveraineté industrielle et numérique d’une disposition de la loi de finances initiale pour 2024 qui modifie les conditions de l’expérimentation ouverte par l’article 154 de la loi de finances pour 2020. Les évolutions portent, en particulier, sur l’élargissement de la possibilité de collecte des données sur les plateformes et les réseaux sociaux, l’extension du champ des manquements et des infractions recherchés et, enfin, sur les conditions d’évaluation de l’expérimentation. La CNIL souligne que l’élargissement des possibilités de collecte est particulièrement substantiel, et ce alors même que le bilan définitif de l’expérimentation en cours n’est pas encore connu. Sous réserve de la mise en œuvre effective de nouvelles garanties, la CNIL considère que ces évolutions peuvent être légitimes. 
La transmission préalable à la CNIL de la "liste des opérations de collecte envisagées" par les administrations fiscale et douanière, proposée dans ce projet d’article afin qu’elle puisse émettre des recommandations, n’apparait pas opportune au regard des missions de la CNIL. Elle suggère que ces opérations soient transmises et contrôlées par un tiers indépendant.
La CNIL estime enfin nécessaire de maintenir un bilan intermédiaire et de disposer d’un bilan définitif étayé dans des délais lui permettant, comme au Parlement, de s’assurer, avant d’envisager toute pérennisation ou nouvelle prorogation du dispositif, de la proportionnalité de la conciliation entre l’efficience de la lutte contre les fraudes fiscale et douanière et l’atteinte manifeste aux libertés individuelles.
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Après avoir entendu le rapport de M. Philippe-Pierre CABOURDIN, commissaire, et les observations de M. Damien MILIC, commissaire du Gouvernement,
ADOPTE LA DELIBERATION SUIVANTE :
I. La saisine
A. Le contexte de la saisine
La lutte contre les fraudes fiscale et douanière sont des objectifs de valeur constitutionnelle qui légitiment des actions du Gouvernement et de l’administration en faveur d’une détection efficiente des manquements et infractions prévus aux codes des impôts et des douanes. Comme le rappelle le Conseil constitutionnel, en vertu de l’article 34 de la Constitution, il appartient au législateur d’assurer la conciliation entre ces objectifs de valeur constitutionnelle et le droit au respect de la vie privée (CC, 27 décembre 2019, 2019-796 DC).
L’article 154 de la loi n° 2019-1479 du 28 décembre 2019 de finances pour 2020 a autorisé, à titre expérimental pour une durée de trois ans, les administrations fiscale et douanière à collecter et à exploiter les contenus librement accessibles et manifestement rendus publics par les utilisateurs sur les sites web des opérateurs de plateforme en ligne mentionnés au 2° du I de l’article L. 111-7 du code de la consommation (ci-après les "plateformes et réseaux sociaux"). Cette collecte doit permettre de rechercher des indices relatifs à la commission de certaines infractions limitativement énumérées par la loi.
Dans sa décision du 27 décembre précitée, le Conseil constitutionnel a considéré que le législateur avait assorti le dispositif de garanties propres à assurer "une conciliation qui n'est pas déséquilibrée" entre le droit au respect de la vie privée et la lutte contre la fraude fiscale et que l'atteinte à l'exercice de la liberté d'expression et de communication est "nécessaire, adaptée et proportionnée aux objectifs poursuivis".
La CNIL s’est déjà prononcée à plusieurs reprises sur les principes et les modalités d’application de cet article (délibérations n° 2019-114 du 12 septembre 2019, n° 2020-123 du 10 décembre 2020, n° 2020-124 du 10 décembre 2020). Ce type de traitements repose sur une collecte générale préalable de données relatives à l’ensemble des personnes rendant accessibles des contenus sur les plateformes et réseaux sociaux en vue du ciblage des actions ultérieures de contrôle. La CNIL a toujours rappelé la nécessité de faire preuve d’une grande prudence quant au développement de traitements automatisés permettant de collecter en masse des contenus publiés sur Internet. 
L’expérimentation ouverte par l’article 154 précité a fait l’objet d’une première évaluation, prévue par son II, transmise à la CNIL le 28 mars 2023. La CNIL relève notamment :
que les travaux déjà engagés, en particulier en ce qui concerne l’identification d’activités occultes, donnent des résultats que l’administration estime encourageants. A titre illustratif, lors de la deuxième campagne d’automne 2021 visant une plateforme de ventes de véhicules automobiles entre particuliers et professionnels, la collecte de données, sur une seule journée, a permis de confirmer une activité occulte dans 13% des dossiers pour un montant global de cessions atteignant quasiment 22 millions d’euros ;
qu’en l’état actuel de la loi, qui interdit la collecte de données nécessitant la création d’un compte, l’expérimentation atteint certaines limites lorsqu’il s’agit d’identifier une fraude aux règles de domiciliation ou certains comportements manifestement frauduleux. En particulier, la Direction générale des finances publiques (DGFiP) a signalé à la commission des finances de l’Assemblée nationale, dès le 28 juin 2021, qu’il était impossible d’effectuer des recherches visant à identifier des personnes faussement domiciliées à l’étranger. Ces recherches reposent en effet sur la collecte de données sur les réseaux sociaux pour lesquels une connexion préalable est nécessaire ;
que le rapport d’évaluation propose, outre la pérennisation de l’expérimentation, une extension du champ du dispositif à d’autres manquements et infractions ainsi qu’une modification du périmètre des données susceptibles d’être collectées et exploitées ;
que ce rapport aurait dû lui être adressé, comme au Parlement, au plus tard le 10 août 2022 et que le bilan définitif aurait dû lui être transmis au moins depuis le 10 août 2023. La CNIL constate que la prolongation de l’expérimentation est demandée sans que ce bilan définitif ait été réalisé, ce qu’elle regrette fortement.
Les évolutions de ce dispositif s’inscrivent dans la feuille de route gouvernementale de lutte contre toutes les fraudes aux finances publiques, présentée en juin 2023, et font suite au rapport d’information n° 72 (2022-2023) du Sénat relatif à la lutte contre la fraude et l’évasion fiscales.
B. L’objet de la saisine 
La CNIL a été saisie pour avis, sur le fondement de l’article a) du 4° du I du 8 de la loi du 6 janvier 1978 modifiée, par le ministère de l'économie, des finances et de la souveraineté industrielle et numérique, d’une disposition du projet de loi de finances initiale pour 2024 visant à modifier l’article 154 susmentionné de la loi de finances pour 2020.
Le projet d’article :
élargit le champ des manquements et des infractions pour lesquels la collecte et l’exploitation des données sont possibles ;
rend possible l’accès aux données manifestement rendues publiques et publiquement accessibles sur les plateformes et réseaux sociaux, y compris celles accessibles après création d’un compte ;