AgentPublic/cnil huggingface dataset:
100. Ensuite, s’agissant de l’argument selon lequel les étapes relatives au remplacement d’informations rattachées au [...] par le [...] et [...] sont mises en œuvre afin de respecter les principes de protection de la vie privée et qu’en leur absence, la société pourrait relier les informations relatives aux annonces diffusées à l’identité de l’utilisateur, ce qui porterait atteinte à sa vie privée, la formation restreinte souligne que, en effet, l’architecture technique sous tendant le service " [...] " permet en soi de rendre les traitements ultérieurs liés à la personnalisation des annonces moins intrusifs pour les personnes concernées. Elle considère en revanche que, dès lors que l’article 82 de la loi Informatique et Libertés trouve à s’appliquer, il est nécessaire d’en respecter les conditions, notamment celles liées au recueil du consentement préalable à toute opération de lecture ayant lieu sur l’équipement terminal de l’utilisateur, hors opérations liées au fonctionnement des communications électroniques ou strictement nécessaires à la fourniture d’un service demandé par l’utilisateur. Autrement dit, la formation restreinte considère que le fait de mettre en œuvre d’autres mesures afin de protéger la vie privée dès la conception ne permet pas de s’affranchir de la règle fixée par l’article 82 de la loi Informatique et libertés.
101. Dès lors, elle considère que ces opérations nécessitent que l’utilisateur ait donné son consentement préalable, dans les conditions prévues par les dispositions de l’article 82 de la loi du 6 janvier 1978 modifiée, telles qu’éclairées par l’article 4, paragraphe 11, du RGPD.
102. En second lieu, la formation restreinte relève que le consentement des personnes doit être univoque et qu’il ressort de la décision " Planet 49 " du 1er octobre 2019 de la CJUE que l’utilisation de cases pré-cochées ne peut être considérée comme un acte positif clair visant à donner son consentement (CJUE, 1er oct. 2019, C-673/17). Au surplus, dans le cadre des lignes directrices du 17 septembre 2020, la Commission a pris soin de préciser qu’un " consentement doit se manifester par le biais d'une action positive de la personne préalablement informée des conséquences de son choix et disposant des moyens de l’exprimer ".
103. En l’espèce, la formation restreinte relève qu’il ressort des constatations effectuées dans la rubrique intitulée " Publicité [...] ", que les paramètres de ciblage de la publicité sont pré-cochés par défaut. Elle considère qu’en étant autorisés " par défaut ", les traitements de ciblage de la publicité ne sauraient être considérés comme ayant été acceptés par un acte positif des utilisateurs.
104. La formation restreinte rappelle en outre que cette étape du recueil du consentement intervient tardivement dans la phase de prise en main du téléphone par l’utilisateur et qu’elle est facultative car non intégrée au parcours d’initialisation du téléphone. En outre, cette étape n’est accessible qu’après que l’utilisateur a cliqué sur l’icône " Réglages " de […], s’est rendu dans le menu " Confidentialité ", puis a cliqué sur la rubrique intitulée " Publicité [...] ". Elle estime qu’il est difficile pour l’utilisateur de parvenir à accepter ou refuser valablement ces opérations, dans la mesure où l’utilisateur qui a terminé le parcours d’initialisation de son téléphone (a fortiori lorsque le parcours comprend un nombre important d’étapes comme en l’espèce) peut légitimement penser ne plus avoir besoin de procéder à d’autres configurations avant de consulter [...].
105. Enfin, la formation restreinte estime que la société met en place des traitements de données d’une [...] leur considérable compte tenu de la place prépondérante qu’occupe le système d’exploitation [...] sur le marché français des systèmes d’exploitation mobiles et de la proportion de recours aux ordiphones par les utilisateurs de téléphone en France. Elle relève également que ce ciblage s’appuie sur les centres d’intérêt et les habitudes de vie des personnes et qu’ainsi, l’utilisation par la société des données de navigation et de profil provenant de [...] pour réaliser le ciblage de la publicité est significative. Dès lors, la formation restreinte considère, au regard de [...]leur des traitements déployés et de la nécessité impérieuse pour les utilisateurs de garder la maîtrise de leurs données, que ceux-ci doivent être mis en situation d’y consentir valablement.
106. En conséquence, la formation restreinte considère que la société [...] accède à des informations déjà stockées ou lues sur le terminal des utilisateurs à des fins de personnalisation des annonces dans [...] sans recueillir préalablement leur consentement, en méconnaissance des dispositions de l’article 82 de la loi Informatique et Libertés.
D. Sur la nouvelle fenêtre destinée à recueillir le consentement sous la nouvelle version [...] du système d’exploitation
107. La formation restreinte relève que le nouveau dispositif destiné à recueillir le consentement sous la nouvelle version [...] du système d’exploitation est rédigée en langue française. Elle prend note que la société s’engage à compléter la mention " [...] ne suit pas vos activités " d’ici mars 2023. Enfin, elle relève qu’aucun identifiant n’est plus utilisé pour des finalités de personnalisation des annonces sur [...] avant que cette fenêtre ne soit présentée à l’utilisateur.
108. En conséquence, la formation restreinte estime que cette nouvelle fenêtre constitue un mécanisme permettant de recueillir préalablement un consentement valable à la lecture des informations et identifiants précités sur le terminal de l’utilisateur, en application de l’article 82 de la loi du 6 janvier 1978 modifiée.
109. La formation restreinte considère qu’un manquement aux obligations qui découlent de l’article 82 de la loi Informatique et Libertés est constitué pour le passé sur la version […] du système d’exploitation dès lors qu’il incombait à la société de recueillir le consentement des utilisateurs préalablement aux opérations d’écriture et / ou de lecture d’informations sur leur équipement terminal à des fins de personnalisation des annonces destinées à promouvoir les applications mobiles sur [...].
110. Elle relève que, dans le cadre de la présente procédure, la société a justifié avoir pris des mesures pour se mettre en conformité avec les obligations découlant de l’article 82 de la loi Informatique et Libertés, ce qui ne remet toutefois pas en cause l’existence du manquement pour les faits passés.
III. Sur les mesures correctrices et leur publicité
111. Aux termes du III de l’article 20 de la loi Informatique et Libertés :
" Lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l'informatique et des libertés peut également, le cas échéant après lui avoir adressé l'avertissement prévu au I du présent article ou, le cas échéant en complément d'une mise en demeure prévue au II, saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l'une ou de plusieurs des mesures suivantes : (…) 7° À l'exception des cas où le traitement est mis en œuvre par l'État, une amende administrative ne pouvant excéder 10 millions d'euros ou, s'agissant d'une entreprise, 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l'article 83 du règlement (UE) 2016/679 du 27 avril 2016, ces plafonds sont portés, respectivement, à 20 millions d'euros et 4 % dudit chiffre d'affaires. La formation restreinte prend en compte, dans la détermination du montant de l'amende, les critères précisés au même article 83. "
112. Aux termes de l’article 83 du RGPD, tel que visé par l’article 20, paragraphe III, de la loi Informatique et Libertés :
" 1. Chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour des violations du présent règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives.
2. Selon les caractéristiques propres à chaque cas, les amendes administratives sont imposées en complément ou à la place des mesures visées à l'article 58, paragraphe 2, points a) à h), et j). Pour décider s'il y a lieu d'imposer une amende administrative et pour décider du montant de l'amende administrative, il est dûment tenu compte, dans chaque cas d'espèce, des éléments suivants :
a) la nature, la gravité et la durée de la violation, compte tenu de la nature, de la portée ou de la finalité du traitement concerné, ainsi que du nombre de personnes concernées affectées et le niveau de dommage qu'elles ont subi ;
b) le fait que la violation a été commise délibérément ou par négligence ;
c) toute mesure prise par le responsable du traitement ou le sous-traitant pour atténuer le dommage subi par les personnes concernées ;
d) le degré de responsabilité du responsable du traitement ou du sous-traitant, compte tenu des mesures techniques et organisationnelles qu'ils ont mises en œuvre en vertu des articles 25 et 32 ;
e) toute violation pertinente commise précédemment par le responsable du traitement ou le sous-traitant ;
f) le degré de coopération établi avec l'autorité de contrôle en vue de remédier à la violation et d'en atténuer les éventuels effets négatifs ;
g) les catégories de données à caractère personnel concernées par la violation ;
h) la manière dont l'autorité de contrôle a eu connaissance de la violation, notamment si, et dans quelle mesure, le responsable du traitement ou le sous-traitant a notifié la violation ;
i) lorsque des mesures visées à l'article 58, paragraphe 2, ont été précédemment ordonnées à l'encontre du responsable du traitement ou du sous-traitant concerné pour le même objet, le respect de ces mesures ;
j) l'application de codes de conduite approuvés en application de l'article 40 ou de mécanismes de certification approuvés en application de l'article 42 ; et
toute autre circonstance aggravante ou atténuante applicable aux circonstances de l'espèce, telle que les avantages financiers obtenus ou les pertes évitées, directement ou indirectement, du fait de la violation. "
A. Sur le prononcé d’une amende administrative
113. En défense, la société estime, à titre principal, qu’aucune violation de l’article 82 de la loi Informatique et Libertés ne peut lui être reprochée et, dès lors qu’aucune amende ne peut être prononcée à son encontre. Elle rappelle à ce titre que le traitement à des fins de personnalisation des annonces sur [...] qu’elle met en œuvre est effectué soit sur ses serveurs et ne fait pas partie du périmètre des investigations de la CNIL, soit sur le terminal des utilisateurs uniquement à des fins de " protection de la vie privée " et relève donc du champ des exemptions prévues à l’article 82 de la loi Informatique et Libertés. La société estime, à titre subsidiaire, que le montant de l’amende proposé par le rapporteur est disproportionné et que plusieurs critères prévus par l’article 83(2) du RGPD sont inopérants en l’espèce, en particulier ceux se référant à la nature, la gravité, la portée du traitement et le niveau de dommage subi par les personnes. Elle fait ensuite valoir que la fenêtre destinée à recueillir le consentement dans la nouvelle version [...] du système d’exploitation a toujours été disponible en langue française pour les utilisateurs ayant sélectionné cette langue, contrairement à ce qu’a soutenu le rapporteur. Elle soutient en outre que le chiffre d’affaires mondial n’est pas un critère pertinent à prendre en compte pour décider du montant de l’amende en lui-même et qu’il a uniquement pour fonction d’empêcher que le montant retenu par la formation
restreinte ne dépasse pas le plafond prévu par le RGPD. Elle ajoute que le montant proposé par le rapporteur correspond à […]. Elle note enfin que l’amende proposée par le rapporteur est sans commune mesure avec les amendes qu’elle a déjà prononcées.
114. Au regard des éléments développés ci-dessus, la formation restreinte considère que les faits précités, constitutifs d’un manquement à l’article 82 de la loi Informatique et Libertés, justifient que soit prononcée une amende administrative à l’encontre de la société [...], personne morale responsable du traitement. Elle rappelle que les changements apportés par la société à la fenêtre destinée à recueillir le consentement dans la nouvelle version [...] du système d’exploitation depuis septembre 2021 sont sans incidence sur le prononcé d’une amende dans la mesure où celle-ci vise à sanctionner les faits constatés au cours des contrôles au sujet de la version [...] du système d’exploitation de […].
115. La formation restreinte rappelle que l’article 20, paragraphe III, de la loi Informatique et Libertés lui donne compétence pour prononcer diverses sanctions, notamment une amende administrative dont le montant maximal peut être équivalant à 2 % du chiffre d'affaires annuel mondial total de l’exercice précédent réalisé par le responsable de traitement. Elle ajoute que la détermination du montant de cette amende s’apprécie au regard des critères précisés par l’article 83 du RGPD.
116. Dans le cas d’espèce, la formation restreinte considère que le manquement en cause justifie le prononcé d’une amende administrative à l’encontre de la société pour les motifs suivants.
117. Tout d’abord, la formation restreinte relève la gravité du manquement, dans la mesure où les paramètres de personnalisation des annonces étant pré-cochés par défaut, la société a effectué des opérations de lecture et /ou d’écriture d’informations ou d’identifiants sur les terminaux des utilisateurs situés en France à des fins de personnalisation des annonces sans recueillir préalablement leur consentement et les a privés de la possibilité d’exercer leur choix conformément aux dispositions de l’article 82 précité.
118. La formation restreinte considère que la gravité du manquement est accentuée par le fait que cette étape du recueil du consentement est intervenue tardivement dans la phase de prise en main du téléphone par l’utilisateur et qu’elle était facultative car non intégrée au parcours d’initialisation du téléphone.
119. La formation restreinte observe que la gravité du manquement doit également être appréciée au regard de la portée des opérations de lecture et d’écriture en cause et du nombre de personnes concernées.
120. S’agissant de la portée des opérations de lecture et d’écriture, la formation restreinte relève que [...] constitue le seul canal de distribution officiel des applications mobiles sur les appareils [...] pour les développeurs, dès lors que la société n’autorise pas le téléchargement d’applications en dehors de son magasin [...]. Les personnes utilisant la version [...] du système d’exploitation de […] sont donc dépendantes des choix effectués par la société [...] relatifs à la protection de leur vie privée.
121. S’agissant du nombre de personnes concernées par les opérations de lecture et /ou d’écriture des informations et identifiants précités sur leur terminal mobile, il ressort des informations fournies par la société que […] millions de terminaux mobiles équipés du système d’exploitation se sont connectés à [...] français en utilisant une adresse IP enregistrée en France entre le 5 juillet 2020 et le 5 juillet 2021 (pour des téléchargements gratuits ou payants, des re-téléchargements ou des mises à jour). Si ce nombre ne signifie pas que […] millions d’utilisateurs n’ont pas consenti aux opérations de lecture et /ou d’écriture des informations et identifiants précités sur leur terminal mobile, il reflète la place importante occupée par la société sur le marché des systèmes d’exploitation de téléphones mobiles.
122. Ensuite, la formation restreinte considère que la société [...], qui a réalisé pour l’année 2021 un chiffre d’affaires mondial d’environ […] dollars, soit environ […] euros (selon le taux de change actuel), a tiré du manquement commis un avantage financier certain. En effet, comme indiqué précédemment, les opérations de lecture et/ou d’écriture permettent à la société de présenter aux utilisateurs, lorsqu’ils effectuent une recherche sur [...], des annonces personnalisées faisant la promotion d’applications. La formation restreinte note que si l’activité principale de la société réside dans la vente et la distribution des produits du groupe [...] en Europe, la personnalisation des annonces permet justement d’augmenter ses revenus. Or, en ne recueillant pas le consentement des utilisateurs aux opérations de lecture et /ou d’écriture des informations et identifiants précités, la société augmente le nombre d’utilisateurs auprès desquels la personnalisation des annonces sera effectuée.
123. La formation restreinte relève néanmoins, à titre de circonstance atténuante, que les étapes relatives au remplacement d’informations rattachées au [...] par le [...] et [...]d sont mises en œuvre afin de respecter les principes de protection de la vie privée et qu’en leur absence, la société pourrait relier les informations relatives aux publicités diffusées à l’identité de l’utilisateur, ce qui porterait davantage atteinte à sa vie privée.
124. Il résulte de tout ce qui précède et des critères dont il a été dûment tenu compte par la formation restreinte, au vu du montant maximum encouru établi sur la base de 2 % du chiffre d’affaires, qu’il est justifié de prononcer une amende administrative à hauteur de 8 millions d’euros.
B. Sur la publicité de la décision
125. En défense, la société soutient qu’une telle mesure ne serait ni nécessaire ni proportionnée au regard du manquement allégué qu’elle réfute et de sa mise en conformité au titre de la nouvelle fenêtre de recueil du consentement disponible sous la version [...] du système d’exploitation.
126. La formation restreinte considère que compte tenu de ce qui a été exposé précédemment, il est justifié de prononcer une sanction complémentaire de publicité. Il est également tenu compte de la place prépondérante occupée par le système d’exploitation [...] sur le marché français des systèmes d’exploitation mobiles et de la proportion de recours aux ordiphones par les utilisateurs de téléphones en France, de la gravité du manquement et de l’intérêt que représente la présente décision pour l’information du public, dans la détermination de la durée de sa publication.
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide de :
• prononcer à l’encontre de la société [...] une amende administrative d’un montant de […] d’euros pour manquement à l’article 82 de la loi Informatique et Libertés ;
• rendre publique, sur le site de la CNIL et sur le site de Légifrance, sa délibération, qui n’identifiera plus nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.
Le président
Alexandre LINDEN
Cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’Etat dans un délai de quatre mois à compter de sa notification.
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de Monsieur Alexandre LINDEN, président, Monsieur Philippe-Pierre CABOURDIN, vice-président, Madame Anne DEBET, Madame Christine MAUGÜÉ, Monsieur Alain DRU et Monsieur Bertrand du MARAIS, membres ;
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;
 
Vu le décret no 2019-536 du 29 mai 2019 pris pour l’application de la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
 
Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
 
Vu la décision n° 2020-047C du 27 décembre 2019 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification de tout traitement de données à caractère personnel portant, en tout ou partie, sur des données relatives à la commercialisation ou à l’utilisation des produits ou services rattachés à la marque " […] ";
Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte du 3 février 2022 ;
 
Vu le rapport de Madame Valérie PEUGEOT, commissaire rapporteure, notifié aux sociétés […] le 7 juillet 2022 ;
 
Vu les observations écrites versées par les sociétés […] le 22 août 2022 ;
 
Vu la réponse de la rapporteure à ces observations notifiée le 22 septembre 2022 au conseil des sociétés ;
 
Vu les observations écrites des sociétés […] reçues le 24 octobre 2022 ;
 
Vu les autres pièces du dossier ;
 
Étaient présents, lors de la séance de la formation restreinte du 1er décembre 2022 :
- Madame Valérie PEUGEOT, commissaire, entendue en son rapport ;
 
En qualité de représentants des sociétés […] 
 
Les sociétés […] ayant eu la parole en dernier ;
 
La formation restreinte a adopté la décision suivante :
 
I. Faits et procédure
 
1. Le groupe […] , qui a des bureaux en Europe, au Moyen-Orient, en Amérique du Nord, en Asie et en Afrique, appartient au groupe de sociétés […] , lequel exploite une gamme de plateformes de distribution de contenus. […] , société mère du groupe […] , est immatriculée aux Iles Caïmans.
2. […] a lancé l’application […] en mai 2017. En novembre 2017, […] a fait l’acquisition de " musical.ly , plateforme de distribution de contenu permettant aux utilisateurs de créer, de voir et de partager du contenu. La société américaine […] . proposait l’application […] "aux utilisateurs situés aux États-Unis et dans l’Union européenne. À la suite de cette acquisition, l’application " […] "a été rebaptisée […] en août 2018 et la dénomination sociale de […] . a été modifiée et est devenue […] . en mai 2019. 
 
3. La société […] . a continué à proposer l’application à des personnes situées au sein de l’Union européenne à la suite de l’acquisition de l’application par […] E et à son changement de nom pour […] . La société […] . était responsable des traitements concernant les données à caractère personnel des utilisateurs situés dans l’Union européenne jusqu’à juillet 2020. Dans le cadre de la procédure de contrôle, les sociétés […] (ci-après " […] ) et […] (ci-après " […] ) ont indiqué que, depuis le 29 juillet 2020, la responsabilité des traitements des données à caractère personnel des utilisateurs européens leur incombe conjointement.
 
4. La société […] , dont le siège social est situé à […] comptait […] salariés en juin 2020. 
 
5. Filiale de […] , la société […] a, quant à elle, son siège social situé à […] . Constituée à la fin de l’année 2018, elle employait […] personnes en juin 2020.
6. En 2021, la société […] , maison mère de […] , a réalisé un chiffre d’affaires d’environ […] dollars. Le chiffre d’affaires total de la société […] et de ses filiales s’est élevé à près de […] de dollars en 2019 et à plus de […] en 2020.
 
7. Par ailleurs, deux établissements de […] sont présents en France, la société […] et la société […] , lesquelles ont leur siège social respectivement à […] et à […] . 
 
8. Au cours du premier trimestre 2020, l’application […] comptait environ […] millions d’utilisateurs actifs par mois au sein de l’Union européenne et du Royaume-Uni. Environ […] millions de ces utilisateurs actifs chaque mois étaient situés en France, dont […] millions d’utilisateurs inscrits, c’est-à-dire possédant un compte. D’après les informations publiquement disponibles, […] . 
 
9. En application de la décision n° 2020-047C de la présidente de la Commission nationale de l’informatique et des libertés (ci-après " la Commission "ou " la CNIL ) du 27 décembre 2019, la CNIL a effectué une mission de contrôle en ligne sur le site web " […] "le 14 mai 2020.