AgentPublic/cnil huggingface dataset:
67. Il apparaît en effet que la société a indiqué avoir pris des mesures correctrices pour supprimer ou désactiver les cookies en cause, après chaque notification de procès-verbal. 
68. Si cet élément doit être pris en considération, la formation restreinte relève néanmoins que cette mise en conformité n’est intervenue qu’après les opérations de contrôle et après échanges avec la délégation, et non de manière autonome et spontanée. De surcroît, compte tenu de la mise en demeure prononcée à l’encontre de la société en 2021, celle-ci aurait dû être particulièrement vigilante dans son application de la réglementation relative aux cookies.
69. En quatrième lieu, la formation restreinte considère qu’il convient de faire application du critère prévu à l’alinéa k) du paragraphe 2 de l’article 83 du RGPD relatif aux avantages financiers obtenus du fait du manquement.
70. En effet, la régie publicitaire et l’activité commerciale en vue de la vente d’espaces publicitaires apparaissent comme des activités centrales de la société, au même titre que son activité d’édition. Les cookies font partie de l’écosystème publicitaire sur le web et génèrent ainsi des revenus pour la société.
71. En conséquence, la formation restreinte estime, au vu de l’ensemble de ces éléments et au regard des critères fixés à l’article 83 du RGPD, qu’il y a lieu de prononcer une amende administrative au titre du manquement en cause.
2. Sur le montant de l’amende administrative
72. En défense, la société reconnaît les manquements constatés par la CNIL ces dernières années en matière de cookies. Elle sollicite néanmoins que les mesures qu’elle a prises tout au long des échanges avec la Commission soient appréciées et que sa bonne foi soit reconnue. Elle liste également les mesures entreprises pour améliorer sa politique en matière de cookies telles que le changement de son gestionnaire de consentement, le déploiement d’une politique globale de gestion des cookies auprès de ses employés, l’élaboration de recommandations pratiques sur l’utilisation des cookies à destination de ses équipes techniques et la formation obligatoire de ses salariés sur les exigences légales en matière de RGPD et d’ePrivacy.
73. La formation restreinte relève qu’en application des dispositions de l’article 20-IV-7° de la loi Informatique et Libertés, elle peut prononcer à l’encontre d’un responsable du traitement ayant commis les manquements constatés, une " amende administrative ne pouvant excéder 10 millions d’euros ou, s’agissant d’une entreprise, 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu ". 
74. Elle rappelle qu’en vertu de l’article 83 du RGPD, les amendes administratives doivent être dissuasives et proportionnées.
75. En outre, la formation restreinte relève que dans le cadre de la prise en compte de l’activité de la société et de sa situation financière pour la détermination de l’amende, la société justifie d’un chiffre d’affaires net pour 2023 en France de 26 461 390 euros pour un résultat net de 855 227 euros. Pour 2022, le chiffre d’affaires net en France était de 47 555 947 euros pour un résultat net de 3 637 770 euros. Ces chiffres correspondent à l’activité de la société pour ses quatre titres de presse dont Vanity Fair. 
76. Dès lors, au regard de la responsabilité de la société LES PUBLICATIONS CONDE NAST, de ses capacités financières et des critères pertinents de l’article 83 du RGPD évoqués ci-avant, la formation restreinte estime qu’une amende administrative d’un montant de 750 000 euros, au regard du manquement constitué à l’article 82 de la loi Informatique et Libertés, apparaît justifiée.
B. Sur la publicité de la sanction
77. En défense, la société soutient que la publicité de la sanction n’est pas justifiée. 
78. La formation restreinte considère qu’une telle mesure se justifie compte tenu de la visibilité du site en cause, de la gravité, de la durée des manquements constitués et du nombre de personnes concernées, lesquelles doivent être informées.
79. Elle estime en outre que cette mesure apparaît proportionnée dès lors que la décision n’identifiera plus nommément la société à l’issue d’un délai de deux ans à compter de sa publication.
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide de : 
- prononcer à l’encontre de la société LES PUBLICATIONS CONDE NAST, une amende administrative d’un montant de sept cent cinquante mille euros (750 000 €) pour manquement à l’article 82 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
-  rendre publique, sur le site de la CNIL et sur le site de Légifrance, sa délibération, qui n’identifiera plus nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.
Le vice-président
Vincent LESCLOUS
Cette décision peut faire l’objet d’un recours devant le Conseil d’Etat dans un délai de deux mois à compter de sa notification.
N° de demande d'avis : 25007687.
Thématiques : navires, contrôles.
Organisme(s) à l'origine de la saisine : Ministère de la transition écologique, de la biodiversité, de la forêt, de la mer et de la pêche
Fondement de la saisine : article 31.I de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés.
L'essentiel :
S'agissant d'un traitement qui relève d'un régime mixte, la CNIL relève que les droits des personnes ne se fondent que sur le RGPD et que les limitations prévues à certains droits se fondent sur l'article 23 du RGPD. Cette position est conforme à l'avis n° 393836 du Conseil d'Etat (Avis n° 393836 du Conseil d'Etat en date du 13 décembre 2017, points 47 et 48).
Les autres dispositions du projet d'arrêté n'appellent pas d'observations de la part de la CNIL.
La Commission nationale de l'informatique et des libertés,
Vu le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil (directive police justice ) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ( loi informatique et libertés ), notamment son titre III et son article 31 ;
Sur la proposition de M. Didier Kling, commissaire, et après avoir entendu les observations de M. Damien Milic, commissaire du Gouvernement,
Adopte la délibération suivante :
I. - La saisine
A. - Le contexte
Les forces de sécurité intérieures (gendarmerie départementale et gendarmerie maritime) du ministère de l'intérieur sont amenées dans le cadre de leur service :
- à contrôler des bateaux et des navires de plaisance ou de commerce ;
- à vérifier les titres de conduite des propriétaires.
Ces opérations de contrôle et vérification sont effectuées à partir des documents spécifiques à la navigation fluviale et maritime et des documents spécifiques à l'immatriculation des navires et bateaux, dont les systèmes d'information et traitements de données à caractère personnel sont gérés par la direction générale des affaires maritimes, de la pêche et de l'aquaculture (DGAMPA).
C'est dans ce cadre que le traitement de données à caractère personnel relatif à la constitution d'un référentiel des navires professionnels dénommé NAVPRO est mis en œuvre.
B. - L'objet de la saisine
La CNIL est saisie d'une demande d'avis portant sur le projet d'arrêté modifiant l'arrêté du 26 novembre 2015 portant création d'un traitement de données à caractère personnel relatif à la constitution d'un référentiel des navires professionnels dénommé NAVPRO .
II. - L'avis de la CNIL
A. - Sur les finalités du traitement et le régime juridique applicable
La CNIL prend acte de ce que le traitement de données à caractère personnel dénommé NAVPRO relève d'un régime mixte :
- les finalités prévues du 1° au 10° de l'article 1er du projet d'arrêté relèvent du RGPD puisqu'il s'agit de finalités administratives (délivrance des certificats d'enregistrement des navires français, la gestion des permis de mise en exploitation des navires de pêche français, la gestion des certificats d'assurance, etc.) ;
- la finalité prévue au 11° de l'article 1er du projet d'arrêté (le contrôle en mer de la situation des navires professionnels marchands et de pêche et la tenue d'enquête, à l'occasion d'accidents, des contrôles des navires ou en cas de suspicion de commission ou commission d'infractions) relève du titre III de la loi informatique et libertés , qui transpose la directive police justice , en ce que cette finalité participe à la prévention et la répression d'infractions pénales. Par ailleurs, elle est mise en œuvre par des autorités compétentes, au sens de l'article 87 de la loi informatique et libertés (les agents des services de la gendarmerie maritime et de la gendarmerie nationale dûment habilités, les agents des services de la direction générale des douanes et de droits indirects dûment habilités, etc.).
B. - Sur les droits des personnes
La CNIL relève que les droits des personnes ne se fondent que sur le RGPD et que les limitations prévues à certains droits se fondent sur l'article 23 du RGPD. Cette position est conforme à l'avis n° 393836 du Conseil d'Etat (Avis n° 393836 du Conseil d'Etat en date du 13 décembre 2017, points 47 et 48) compte tenu du fait que le ministère a indiqué que, en l'espèce, les données traitées pour la finalité soumise au titre III de la loi Informatique et Libertés ne sont pas aisément distinguables des données traitées pour les finalités soumises au RGPD et que l'application d'un double régime paraît complexe à mettre en œuvre pour les droits des personnes concernées.
Elle relève toutefois que, contrairement à ce qui était prévu initialement, les droits d'accès, de rectification et de limitation ne font pas l'objet de limitations pour la finalité relevant du titre III de la loi informatique et libertés , au-delà des conditions de leur exercice prévues par les articles 15 à 18 du RGPD.
Les autres dispositions du projet d'arrêté n'appellent pas d'observations de la part de la CNIL.
La présidente,
M.-L. Denis
N° de demande d'avis : 25007687.
Thématiques : navires, contrôles, lutte contre la fraude.
Organisme(s) à l'origine de la saisine : Ministère de la transition écologique, de la biodiversité, de la forêt, de la mer et de la pêche.
Fondement de la saisine : article 31.I de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés.
L'essentiel :
S'agissant d'un traitement qui relève d'un régime mixte, la CNIL relève que les droits des personnes ne se fondent que sur le RGPD et que les limitations prévues à certains droits se fondent sur l'article 23 du RGPD. Cette position est conforme à l'avis n° 393836 du Conseil d'Etat (avis n° 393836 du Conseil d'Etat en date du 13 décembre 2017, points 47 et 48).
Les autres dispositions du projet d'arrêté n'appellent pas d'observations de la part de la CNIL.
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Ces opérations de contrôle et vérification sont effectuées à partir des documents spécifiques à la navigation fluviale et maritime et des documents spécifiques à l'immatriculation des navires et bateaux, dont les systèmes d'information et traitements de données à caractère personnel sont gérés par la direction générale des affaires maritimes, de la pêche et de l'aquaculture (DGAMPA).
C'est dans ce cadre que le traitement de données à caractère personnel relatif à la constitution d'un référentiel des navires de plaisance dénommé PUMA est mis en œuvre.
Par ailleurs, la fiscalité plaisance, de la compétence de l'administration des douanes jusqu'au 1er janvier 2022, a été transférée à la DGAMPA. Ce transfert implique pour cette administration la perte de la base de données navire qu'elle entretenait alors que ses missions de contrôle demeurent. Il s'agit donc de rendre l'administration des douanes et des droits indirects destinataire des données traitées par l'application PUMA pour l'exercice de leurs missions de contrôle.
B. - L'objet de la saisine
La CNIL est saisie d'une demande d'avis portant sur le projet d'arrêté portant création d'un traitement de données à caractère personnel relatif à la constitution d'un référentiel des navires de plaisance dénommé PUMA et au traitement automatisé permettant la gestion du droit annuel de francisation et de navigation.
II. - L'avis de la CNIL
A. - Sur les finalités du traitement et le régime juridique applicable
Le ministère considère que le traitement de données à caractère personnel PUMA relève d'un régime mixte :
- les finalités prévues au 1° à 8° de l'article 1er du projet d'arrêté relèveraient du RGPD ;
- la finalité prévue au 9° de l'article 1er du projet d'arrêté relèverait du titre III de la loi informatique et libertés , qui transpose la directive police justice .
La CNIL prend acte de ce que la finalité mentionnée au 9° (le contrôle en mer et sur les eaux intérieures de la situation des navires et la tenue d'enquête, à l'occasion d'accidents, des contrôles des navires ou en cas de suspicion de commission ou commission d'infractions) relève du titre III de la loi informatique et libertés en ce que cette finalité participe à la prévention et la répression d'infractions pénales. Par ailleurs, elle est mise en œuvre par des autorités compétentes, au sens de l'article 87 de la loi informatique et libertés (les agents des services de la gendarmerie maritime et de la gendarmerie nationale dûment habilités, les agents des services de la direction générale des douanes et de droits indirects dûment habilités, etc.).
B. - Sur les droits des personnes
N° de demande d'avis : 25007687.
Thématiques : navires, permis de conduire, contrôles.
Organisme(s) à l'origine de la saisine : Ministère de la transition écologique, de la biodiversité, de la forêt, de la mer et de la pêche.
Fondement de la saisine : article 31.I de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés.
L'essentiel :
S'agissant d'un traitement qui relève d'un régime mixte, la CNIL relève que les droits des personnes ne se fondent que sur le RGPD et que les limitations prévues à certains droits se fondent sur l'article 23 du RGPD. Cette position est conforme à l'avis n° 393836 du Conseil d'Etat (Avis n° 393836 du Conseil d'Etat en date du 13 décembre 2017, points 47 et 48).
Les autres dispositions du projet d'arrêté n'appellent pas d'observations de la part de la CNIL.
La Commission nationale de l'informatique et des libertés,
Vu le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Ces opérations de contrôle et vérification sont effectuées à partir des documents spécifiques à la navigation fluviale et maritime et des documents spécifiques à l'immatriculation des navires et bateaux, dont les systèmes d'information et traitements de données à caractère personnel sont gérés par la direction générale des affaires maritimes, de la pêche et de l'aquaculture (DGAMPA).
C'est dans ce cadre que le traitement de données à caractère personnel relatif à l'organisation des épreuves et la délivrance informatisée des permis de conduite des bateaux de plaisance à moteur dénommé OEDIPP est mis en œuvre.
B. - L'objet de la saisine
La CNIL est saisie d'une demande d'avis portant sur un projet d'arrêté portant création d'un traitement de données à caractère personnel relatif à l'organisation des épreuves et la délivrance informatisée des permis de conduite des bateaux de plaisance à moteur dénommé OEDIPP .
II. - L'avis de la CNIL
A. - Sur les finalités du traitement et le régime juridique applicable
La CNIL prend acte de ce que le traitement de données à caractère personnel OEDIPP relève d'un régime mixte :
- les finalités prévues au 1°, 2°, 3°, 4°, 6° et 7° de l'article 1er du projet d'arrêté relèvent du RGPD puisqu'il s'agit de finalités administratives (délivrance et gestion des permis de conduire, organisation des épreuves théoriques et gestion des candidatures au permis de conduire, etc.) ;
- la finalité prévue au 5° de l'article 1er du projet d'arrêté (le contrôle en mer et sur les eaux intérieures de la situation des navires et la tenue d'enquête, à l'occasion d'accidents, des contrôles des navires ou en cas de suspicion de commission ou commission d'infractions) relève du titre III de la loi informatique et libertés , qui transpose la directive police justice , en ce que cette finalité participe à la prévention et la répression d'infractions pénales. Par ailleurs, elle est mise en œuvre par des autorités compétentes, au sens de l'article 87 de la loi informatique et libertés (les agents des services de la gendarmerie maritime et de la gendarmerie nationale dûment habilités, les agents des services de la direction générale des douanes et de droits indirects dûment habilités, etc.).
B. - Sur les droits des personnes
N° de demande d'avis : 25007687.
Thématiques : bateaux de plaisance, contrôles.
Organisme(s) à l'origine de la saisine : Ministère de la transition écologique, de la biodiversité, de la forêt, de la mer et de la pêche
Fondement de la saisine : article 31.I de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés
L'essentiel :
S'agissant d'un traitement qui relève d'un régime mixte, la CNIL relève que les droits des personnes ne se fondent que sur le RGPD et que les limitations prévues à certains droits se fondent sur l'article 23 du RGPD. Cette position est conforme à l'avis n° 393836 du Conseil d'Etat (Avis n° 393836 du Conseil d'Etat en date du 13 décembre 2017, points 47 et 48).
Les autres dispositions du projet d'arrêté n'appellent pas d'observations de la part de la CNIL.
La Commission nationale de l'informatique et des libertés,
Vu le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Ces opérations de contrôle et vérification sont effectuées à partir des documents spécifiques à la navigation fluviale et maritime et des documents spécifiques à l'immatriculation des navires et bateaux, dont les systèmes d'information et traitements de données à caractère personnel sont gérés par la direction générale des affaires maritimes, de la pêche et de l'aquaculture (DGAMPA).
C'est dans ce cadre que le traitement automatisé d'informations relatif à l'enregistrement des bateaux de plaisance naviguant ou stationnant dans les eaux intérieures nationales dénommé SIMBA est mis en œuvre.
B. - L'objet de la saisine
La CNIL est saisie d'une demande d'avis portant sur le projet d'arrêté modifiant l'arrêté du 29 novembre 2011 portant création d'un traitement automatisé d'informations relatif à l'enregistrement des bateaux de plaisance naviguant ou stationnant dans les eaux intérieures nationales dénommé SIMBA .
II. - L'avis de la CNIL
A. - Sur les finalités du traitement et le régime juridique applicable
La CNIL prend acte de ce que le traitement de données à caractère personnel dénommé SIMBA relève d'un régime mixte :
- les finalités prévues du 1° au 4° de l'article 1er du projet d'arrêté relèvent du RGPD puisqu'il s'agit de finalités administratives (enregistrement des bateaux, édition des titres de circulation, etc.) ;
- la finalité prévue au 5° de l'article 1er du projet d'arrêté (le contrôle en mer et sur les eaux intérieures de la situation des bateaux et la tenue d'enquête, à l'occasion d'accidents, des contrôles des bateaux ou en cas de suspicion de commission ou de commission d'infractions) relève du titre III de la loi informatique et libertés , qui transpose la directive police justice , en ce que cette finalité participe à la prévention et la répression d'infractions pénales. Par ailleurs, elle est mise en œuvre par des autorités compétentes, au sens de l'article 87 de la loi informatique et libertés (les agents des services de la gendarmerie maritime et de la gendarmerie nationale dûment habilités, les agents des services de la direction générale des douanes et de droits indirects dûment habilités, etc.).
B. - Sur les droits des personnes
La CNIL relève que les droits des personnes ne se fondent que sur le RGPD et que les limitations prévues à certains droits se fondent sur l'article 23 du RGPD. Cette position est conforme à l'avis n° 393836 du Conseil d'Etat (Avis n° 393836 du Conseil d'État en date du 13 décembre 2017, points 47 et 48) compte tenu du fait que le ministère a indiqué que, en l'espèce, les données traitées pour la finalité soumise au titre III de la loi Informatique et Libertés ne sont pas aisément distinguables des données traitées pour les finalités soumises au RGPD et que l'application d'un double régime paraît complexe à mettre en œuvre pour les droits des personnes concernées.
Elle relève toutefois que, contrairement à ce qui était prévu initialement, les droits d'accès, de rectification et de limitation ne font pas l'objet de limitations pour la finalité relevant du titre III de la loi informatique et libertés , au-delà des conditions de leur exercice prévues par les articles 15 à 18 du RGPD.
Les autres dispositions du projet d'arrêté n'appellent pas d'observations de la part de la CNIL.
La présidente,
M.-L. Denis
N° de demande d'avis : 24017976.
Thématiques : casier judiciaire national automatisé, délivrance des extraits de casier judiciaire (B1 et B3), empreintes digitales.
Organisme(s) à l'origine de la saisine : ministère de la justice.
Fondement de la saisine : article 779 du code de procédure pénale.
L'essentiel :
L'application de stockage, de traitement et de restitution des antécédents judiciaires (ASTREA) est le nouvel applicatif du traitement du casier judiciaire national automatisé (CJN). Il permet la gestion des antécédents judiciaires et est géré par le service du casier judiciaire national. Le service du CJN est l'autorité centrale désignée par le règlement (UE) 2019/816 pour interroger, alimenter et actualiser le système européen centralisé permettant d'identifier les Etats membres détenant des informations relatives aux condamnations concernant des ressortissants de pays tiers et des apatrides (ECRIS-TCN).
Depuis l'ordonnance n° 2022-1524 relative au casier judiciaire national automatisé, le CJN enregistre et conserve les empreintes digitales de l'ensemble des personnes condamnées via sa mise en relation avec le fichier automatisé des empreintes digitales (FAED) au moyen de l'identifiant de personne physique (IDPP).
Le projet de texte prévoit la création de mentions spécifiques ( flags ) en cas de condamnation pour infraction terroriste ou certaines infractions graves sur la fiche du CJN aux fins de centralisation dans le traitement ECRIS-TCN.