AgentPublic/cnil huggingface dataset:
Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte, en date du 29 novembre 2021 ;
Vu le rapport de Madame Valérie PEUGEOT, commissaire rapporteure, notifié à la société […] le 19 juillet 2022 ;
Vu les observations écrites versées par la société […] le 5 octobre 2022 ;
Vu la réponse de la rapporteure à ces observations, notifiée le 21 novembre 2022 au conseil de la société ;
Vu les observations écrites versées par la société […] le 5 janvier 2023 ;
Vu les autres pièces du dossier ;
Étaient présents, lors de la séance de la formation restreinte du 9 février 2023 :
- Madame Valérie PEUGEOT, commissaire, entendu en son rapport ;
En qualité de représentants de la société […] :
[...]
La société […] ayant eu la parole en dernier ;
La formation restreinte a adopté la décision suivante :
I. Faits et procédure
1. La société […] (ci-après "la société "), dont le siège social est situé […], est une filiale détenue à 100% par la société […]. Elle a été immatriculée au registre du commerce et des sociétés le […] et la délégation a été informée qu’elle a été créée en mai 2000. Elle employait, en 2020, une trentaine de salariés. Elle a réalisé, en 2020, un chiffre d’affaires d’environ [...], pour un résultat net d’environ [...] puis en 2021, un chiffre d’affaires d’environ [...], pour un résultat net négatif de [...].
2. La société […] était détenue directement par le groupe de médias français […] jusqu’au […], date à laquelle le groupe […] a cédé au groupe […] "les actifs média et des activités digitales du pôle Publishers de [la société] […] ", dont fait partie la société […].
3. La société […] édite le site web francophone […] (ci-après "le site web "), qui propose principalement des articles, tests, quiz et forums de discussion en lien avec la santé et le bien-être. Le site web de la société est disponible uniquement en langue française mais est accessible à partir de l’ensemble des pays de l’Union européenne et également hors de l’Europe. La société […] revendiquait environ […] de visiteurs uniques du site web entre les mois de mai 2021 et avril 2022 et environ […] utilisateurs inscrits, disposant d’un compte utilisateur créé à partir du site web […], à la date du 8 avril 2022. Les utilisateurs, inscrits ou visiteurs, sont situés majoritairement en France et en Belgique. Enfin, la société comptabilise environ […] utilisateurs ayant répondu à au moins une question d’un questionnaire ayant pour thème la santé entre les mois de février 2020 et janvier 2021. La délégation a été informée que parmi ces utilisateurs, […] sont situés en France et […] sont situés en Belgique.
4. Le 26 juin 2020, la Commission nationale de l’informatique et des libertés (ci-après "la CNIL " ou "la Commission ") a été saisie d’une plainte n° […] par l’association […] concernant l’ensemble des traitements de données à caractère personnel des utilisateurs mis en œuvre par la société […] sur son site web et, en particulier, les modalités de dépôt des cookies sur le terminal des utilisateurs lorsqu’ils se rendent sur le site web ; la base légale du traitement des données à caractère personnel des utilisateurs susceptibles d’être collectées sur le site web quand un utilisateur effectue des tests ayant pour thème la santé ; l’obligation de transparence et de fourniture d’informations aux utilisateurs du site web ainsi que la sécurité des données des utilisateurs.
5. L’association […] ayant publiquement communiqué sur sa plainte, la société […] a apporté des précisions à la connaissance de la CNIL par courrier du 7 juillet 2020 en indiquant notamment, ne procéder à aucun dépôt de cookies et autres traceurs avant le consentement de l’utilisateur et travailler à la mise en place d’un consentement pour l’accès aux tests susceptibles de révéler les catégories particulières de données.
6. Quatre missions de contrôle ont eu lieu en application de la décision n° 2020-123C du 14 août 2020 de la Présidente de la CNIL. Le 9 septembre 2020, les services de la CNIL ont d’abord effectué un contrôle en ligne à partir du domaine "[…] ". Le 1er octobre 2020, les services de la CNIL ont ensuite procédé à un contrôle sur place de la société […], dans ses locaux située […], avant d’effectuer, le 1er décembre 2020, un nouveau contrôle en ligne à partir du domaine "[…] ". Enfin, le 8 février 2021, un contrôle sur pièces a été effectué par l’envoi d’un questionnaire adressé à la société.
7. Ces missions ont donné lieu à l’établissement des procès-verbaux n° 2020-123/1, 2020-123/2 et 123/3 et à des courriers et informations communiquées par la société les 13 et 21 octobre 2020, 19 novembre 2020, 8 décembre 2020, 18 janvier 2021 et 24 février 2021.
8. Ces missions ont eu pour principal objet d’instruire la plainte dont la CNIL était saisie et de procéder à la vérification de la conformité des traitements de données à caractère personnel accessibles à partir du nom de domaine "[…]", ainsi que de tout traitement lié, aux dispositions du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (ci-après "le RGPD ") et de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée (ci-après "la loi Informatique et Libertés ").
9. Conformément à l’article 56 du RGPD, le 3 décembre 2020, la CNIL a informé l’ensemble des autorités de contrôle européennes de sa compétence pour agir en tant qu’autorité de contrôle cheffe de file concernant les traitements transfrontaliers mis en œuvre par la société, résultant de ce que l’établissement principal de la société se trouve en France. Après échange entre la CNIL et les autorités de protection des données européennes dans le cadre du mécanisme de guichet unique, celles-ci sont toutes concernées par le traitement puisque le site web comporte des visiteurs de tous les États membres de l’Union européenne. 
10. Le 8 avril 2021, la société […] a formulé auprès de la CNIL une demande de conseil et d’accompagnement. Il lui a été répondu le 30 avril 2021, que la charte d’accompagnement des professionnels prévoit une impossibilité d’accompagner les organismes dans leur mise en conformité lorsqu’une procédure de contrôle est en cours. 
11. Le 27 octobre 2021, la société […] a fait parvenir à la CNIL un courrier reprenant les actions en lien avec les traitements de données à caractère personnel accessibles depuis le domaine "[…]" et tout traitement lié, réalisées par la société […] depuis le mois de juillet 2020. 
12. Aux fins d’instruction de ces éléments, la présidente de la Commission a, le 29 novembre 2021, désigné Madame Valérie PEUGEOT en qualité de rapporteure sur le fondement de l’article 22 de la loi du 6 janvier 1978 modifiée.
13. À l’issue de son instruction, la rapporteure a, le 19 juillet 2022, fait notifier à la société un rapport détaillant les manquements aux articles 5-1-e), 9, 13, 26 et 32 du RGPD et à l’article 82 de la loi Informatique et Libertés qu’elle estimait constitués en l’espèce. Ce rapport proposait à la formation restreinte de prononcer une amende administrative à l’encontre de la société, ainsi qu’une injonction, assortie d’une astreinte de mettre en conformité le traitement avec les dispositions des articles 5-1-e) et 32 du RGPD et de l’article 82 de la loi. Ce rapport proposait également que cette décision soit rendue publique mais ne permette plus d’identifier nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.
14. Le 5 octobre 2022, la société a produit ses observations en réponse au rapport de sanction.
15. La rapporteure a répondu aux observations de la société le 21 novembre 2022.
16. Le 5 janvier 2023, la société a produit de nouvelles observations en réponse à celles de la rapporteure.
17. Par courrier du 19 janvier 2023, la rapporteure a informé le conseil de la société que l’instruction était close, en application de l’article 40, III, du décret modifié n°2019-536 du 29 mai 2019.
18. Par courrier du 19 janvier 2023, la société a été informée que le dossier était inscrit à l’ordre du jour de la formation restreinte du 9 février 2023.
19. La rapporteure et la société ont présenté des observations orales lors de la séance de la formation restreinte.
II. Motifs de la décision
A. Sur la procédure de coopération européenne 
20. En application de l’article 60 paragraphe 3 du RGPD, le projet de décision adopté par la formation restreinte a été transmis le 30 mars 2023 aux autorités de contrôle européennes concernées.
21. Au 27 avril 2023, aucune des autorités de contrôle concernées n’avait formulé d’objection pertinente et motivée à l’égard de ce projet de décision, de sorte que, en application de l’article 60, paragraphe 6, du RGPD, ces dernières sont réputées l’avoir approuvé.
B. Sur le manquement à l’obligation de conserver les données à caractère personnel pour une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées en application de l’article 5, paragraphe 1, e) du RGPD
22. Aux termes de l’article 5-1-e) du RGPD, les données à caractère personnel doivent être "conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées ; les données à caractère personnel peuvent être conservées pour des durées plus longues dans la mesure où elles seront traitées exclusivement à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques conformément à l'article 89, paragraphe 1, pour autant que soient mises en œuvre les mesures techniques et organisationnelles appropriées requises par le présent règlement afin de garantir les droits et libertés de la personne concernée (limitation de la conservation) ".
a. Sur les durées de conservation des données relatives aux tests et aux "quizz " réalisés par les utilisateurs du site web […]
23. La rapporteure a relevé que la délégation a constaté lors des contrôles des 9 septembre, 1er octobre et 1er décembre 2020 que des tests et des "quizz " (ci-après "des questionnaires " ou "des tests ") étaient disponibles sur le site web de la société. Lors du contrôle du 1er octobre 2020, la délégation a été informée que ces questionnaires étaient rédigés par la société mais que leur mise en œuvre et leur hébergement étaient réalisés par un sous-traitant, la société [...].
24. En premier lieu, la rapporteure relève que jusqu’au 11 octobre 2020, la société [...] conservait les réponses issues des tests effectués par l’ensemble des utilisateurs loggés et non loggés ainsi que l’adresse IP de ces derniers pendant une durée de 24 mois à compter de leur réalisation. La rapporteure a ainsi relevé qu’un fichier contenait les réponses issues des tests effectués par les utilisateurs au sujet du cancer du côlon, associées à leur adresse IP.
25. La rapporteure relève ensuite qu’une mention située en-dessous des questionnaires portant sur des sujets de santé indique que la réalisation d’un test permet à l’utilisateur d’en connaitre le résultat et, le cas échéant, de le partager avec ses amis. Cela permet également à la société […] de réaliser des statistiques agrégées sur l’utilisation des tests. 
26. S’agissant des deux premières finalités, la rapporteure observe qu’il ressort des constats effectués que le résultat du test s’affiche immédiatement à la fin du déroulement des questions posées. Elle considère, dès lors, que la conservation des réponses de l’utilisateur au questionnaire ainsi que de son adresse IP n’apparait pas nécessaire après la communication du résultat à l’utilisateur et son éventuel partage par ce dernier avec ses amis. Ces finalités ne sauraient en tous cas justifier une conservation d’une durée de 24 mois des données à caractère personnel concernées.
27. S’agissant de la troisième finalité, la rapporteure observe qu’en l’espèce les statistiques agrégées sont réalisées indépendamment des réponses aux questionnaires, aux moyens d’outils de mesure d’audience, qui impliquent notamment le dépôt et / ou la lecture de cookies ou autres traceurs sur le terminal de l’utilisateur ayant pour finalité la mesure d’audience et l’utilisation de l’adresse IP de l’utilisateur. Elle considère, dès lors, que la conservation des réponses aux questionnaires après la fin du test n’est pas nécessaire à la réalisation des statistiques agrégées sur l’utilisation des tests, qui s’effectue au fil de l’eau par d’autres moyens.
28. En second lieu, la rapporteure relève que depuis le 11 octobre 2020, la société […] a demandé à la société [...], d’anonymiser les données relatives aux tests et "quizz " dès leur collecte. La société […] indique que depuis cette date, son sous-traitant procède à un hachage des adresses IP - pour lesquelles la société indique qu’il s’agit des "seules données identifiantes auxquelles sont rattachées les informations relatives aux participations " - avec l’algorithme HMAC-SHA256 et que l’ensemble des données relatives à des participations aux tests datant de plus de trois mois à compter de leur réalisation a fait l’objet d’une suppression afin de répondre aux trois finalités susmentionnées. Au regard des éléments communiqués par la société, la rapporteure a relevé que, l’algorithme de hachage utilisé par la société [...] correspond en réalité seulement à une fonction SHA256, sans clé de hachage. La rapporteure relève que l’usage seul de la fonction SHA256, s’il permet d’assurer l’intégrité des données à caractère personnel, ne permet pas d’assurer leur anonymisation.
29. En défense, la société soutient que le manquement reproché est involontaire puisqu’il résulte de la mauvaise exécution du contrat conclu avec son sous-traitant qui n’a pas respecté ses obligations contractuelles relatives à la suppression des données provenant des tests à l’issue de leur affichage d’une part, et celles prévoyant le recours à une variable aléatoire dans la fonction d’anonymisation des adresses IP d’autre part. La société […] précise avoir mis fin au contrat qui la liait avec [...] dès le 16 mars 2021. Ensuite, la société soutient que la rapporteure invoque une possession hypothétique des informations permettant la réidentification et que le risque d’attaque en termes de probabilité et de gravité n’est pas qualifié. Elle considère que la vraisemblance du risque d’attaque de ses propres systèmes par [...] est négligeable et que sa gravité serait très limitée en l’absence de données sensibles. Enfin, la société […] conclut qu’à compter du 11 octobre 2020, les données des tests ne contenaient que des données non identifiantes et que ces dernières pouvaient être conservées sans limitation de durée.
30. En premier lieu, la formation restreinte rappelle que la durée de conservation des données à caractère personnel doit être déterminée en fonction de la finalité poursuivie par le traitement et que lorsque cette finalité est atteinte, les données doivent par principe être supprimées ou anonymisées.
31. En l’espèce, la formation restreinte relève qu’il n’est pas contesté par la société qu’avant le 11 octobre 2020, le sous-traitant de la société […] conservait les réponses issues des tests réalisés par les utilisateurs ainsi que leur adresse IP, pendant 24 mois à compter de leur réalisation. La formation restreinte considère que la conservation des réponses de l’utilisateur au questionnaire ainsi que de son adresse IP n’apparait pas nécessaire après la communication du résultat à l’utilisateur et son éventuel partage par ce dernier avec ses amis. De même, la conservation des réponses aux questionnaires après la fin du test ainsi que de son adresse IP n’est pas nécessaire à la réalisation des statistiques agrégées sur l’utilisation des tests dès lors qu’elles peuvent, et sont en l’espèce, effectuées au fil de l’eau aux moyens d’outils de mesure d’audience. À cet égard, la formation restreinte note que la société ne justifie pas d’une nécessité de conservation de ces données.
32. La formation restreinte note que le contrat de sous-traitance prévoyait que les adresses IP des participants ne devaient pas être collectées par [...] concernant les "quiz anonymes dits "sensibles " ". Néanmoins, la formation restreinte relève que la société […] avait accès à des tableaux de bord, établis par son sous-traitant, comprenant les réponses des participants aux tests et aux "quizz " ainsi que leurs adresses IP sous forme pseudonymisée. La formation restreinte relève que ce n’est qu’à la suite de la plainte de l’association […] que la société […] a interrogé son sous-traitant afin de connaître les mesures qu’il mettait en œuvre, alors qu’elle avait connaissance de la collecte des adresses IP par ce dernier, via lesdits tableaux de bord. Ensuite, la formation restreinte relève que, si la société […] a sollicité de son sous-traitant qu’il procède à la suppression des résultats des tests dès l’affichage, elle ne s’est pas opposée à la solution alternative proposée par la société [...], consistant à procéder à compter du 11 octobre 2020, à la seule anonymisation des adresses IP.
33. Si le responsable de traitement peut décider de recourir à un prestataire spécialisé, en particulier en lui confiant une mission de sous-traitance des données à caractère personnel, au sens du RGPD, il reste tenu de veiller, par des diligences raisonnables, à ce que le respect de la protection des données à caractère personnel soit effectivement assuré. Le caractère suffisant de ces diligences dépend notamment des compétences et des moyens du responsable de traitement. La formation restreinte rappelle que la responsabilité du responsable de traitement peut être retenue du fait de l’absence de mise en œuvre par celui-ci d’un contrôle régulier sur les mesures techniques et organisationnelles prises par son sous-traitant (CE, 10ème chambre, 26 avril 2022, Société Optical Center, n° 449284). La formation restreinte a notamment retenu la responsabilité d’un responsable de traitement pour ne pas avoir exercé un contrôle suffisant sur la prestation réalisée en considérant qu’un simple engagement contractuel de son courtier visant à "respecter le RGPD et les règles applicables en matière de prospection commerciale " n’est pas une mesure suffisante, dans sa délibération SAN-2022-021 du 24 novembre 2022 à l’encontre de la société […].
34. Il résulte de ce qui précède que la formation restreinte considère que la société […], qui constitue une société qui dispose de compétences dans le domaine du numérique, n’a pas suffisamment suivi l’exécution de ses instructions contractuelles par son sous-traitant et n’a pas exercé un contrôle satisfaisant sur les mesures techniques et organisationnelles qu’il mettait en œuvre pour assurer la conformité au RGPD et, notamment pour assurer l’absence de collecte de données à caractère personnel ou encore l’anonymisation de celles-ci. Par ailleurs, la formation restreinte relève que les données en question et les adresses IP des utilisateurs étaient accessibles à la société […]. 
35. En conséquence, la formation restreinte considère que les faits précités constituent un manquement à l’article 5-1-e) du RGPD dès lors que, jusqu’au 11 octobre 2020, les réponses aux tests et "quizz " ainsi que les adresses IP, pouvant être associées aux informations des comptes utilisateurs étaient conservées pendant une durée de vingt-quatre mois à compter de leur réalisation, ce qui excédait les finalités pour lesquelles les données étaient traitées. 
36. En second lieu, la formation restreinte relève que depuis le 11 octobre 2020, la société [...] procède à un hachage des adresses IP avec la fonction SHA256 sans clé de hachage, et que l’ensemble des données relatives à des participations aux tests datant de plus de trois mois à compter de leur réalisation a fait l’objet d’une suppression.
37. La formation restreinte relève que la Commission a communiqué publiquement sur son site internet sur l’usage de la fonction SHA256. La Commission a ainsi considéré que, s’il permet d’assurer l’intégrité des données à caractère personnel, l’usage de la fonction SHA256 sans clé de hachage associée, ne permet pas d’assurer leur anonymisation. La formation restreinte considère donc que la fonction de hachage utilisée par le sous-traitant de la société […] ne saurait constituer une solution d’anonymisation mais seulement de pseudonymisation des données à caractère personnel des utilisateurs, en ce que la société [...] qui connaissait les paramètres du hachage, et compte tenu du fait que le nombre d’adresses IP est connu et limité, pouvait retrouver par force brute et dans un délai raisonnable, l’adresse IP des personnes ayant répondu aux tests.
38. Dès lors que les données relatives à la participation d’utilisateurs aux tests et "quizz " ne sont pas anonymisées, la formation restreinte considère, comme elle l’a précédemment développé, que leur conservation n’apparait pas nécessaire après la communication du résultat à l’utilisateur et son éventuel partage puisque le résultat du test s’affiche immédiatement à la fin du déroulement des questions posées. De même, la formation restreinte considère que leur conservation n’est pas nécessaire à la réalisation des statistiques agrégées sur l’utilisation des tests. La formation restreinte considère donc que la société ne justifie d’aucune nécessité de conservation de ces données pendant une durée de trois mois.
39. En conséquence, la formation restreinte considère que les faits précités constituent un manquement à l’article 5-1-e) du RGPD pour les faits relevés à compter du 11 octobre 2020 dès lors que les réponses aux tests et "quizz " sont conservées pendant une durée de trois mois à compter de leur réalisation du fait d’une procédure d’anonymisation ineffective des adresses IP, ce qui excède la durée nécessaire aux finalités pour lesquelles elles sont traitées.
40. La formation restreinte relève qu’au cours de la procédure, la société […] a indiqué s’être mise en conformité avec les exigences de l’article 5-1-e) puisque depuis le 16 mars 2021, son sous-traitant ne collecte plus les adresses IP des utilisateurs, de sorte qu’il n’y a pas lieu à adresser d’injonction à la société sur ce point. La formation restreinte considère néanmoins le manquement constitué pour les faits passés. 
b. Sur les durées de conservation des comptes créés par les utilisateurs du site […]
41. La rapporteure relève qu’il ressort du référentiel relatif aux durées de conservation de la société qu’elle anonymise "les données relatives au compte membre après 3 ans d’inactivité ". La rapporteure relève également que lors du contrôle sur place du 1er octobre 2020, la délégation a été informée qu’après trois ans d’inactivité, les "informations directement identifiantes des comptes sont supprimées ou remplacées par des données aléatoires aux fins d’anonymisation ". Or, la rapporteure relève que la procédure d’anonymisation mise en place par la société ne satisfait pas au critère d’impossibilité d’individualisation du fait de la conservation de l’identifiant unique de l’utilisateur, "id_user ", et de son nom d’utilisateur pseudonymisé qui permet une ré-identification indirecte de ce dernier.