AgentPublic/cnil huggingface dataset:
55. Au vu de ce qui précède, la formation restreinte relève que dans le cadre de sa mission de représentation d’intérêts pour le compte de la société X, la société Y a procédé à la collecte et au traitement des données à caractère personnel des parties prenantes impliquées dans le débat sur le renouvellement de l’autorisation d’utilisation du [...] dans l’Union européenne. Le traitement ainsi mis en œuvre procède du suivi du comportement des personnes concernées au sens des dispositions de l’article 3-2)-b) du RGPD et ressort en conséquence du champ d’application territorial du RGPD et des dispositions de la loi Informatique et Libertés, indépendamment du lieu d’établissement du responsable de traitement.
D. Sur l’applicabilité du RGPD aux faits de l’espèce
56. La rapporteure souligne que le traitement de données à caractère personnel correspondant à l’identification et à la cartographie des parties prenantes au débat sur le renouvellement de l’autorisation du [...], qui s’est concrétisé notamment par l’élaboration du fichier [...] ", a commencé en 2016 mais qu’il a continué jusqu’en 2019, soit postérieurement à l’entrée en application du RGPD, tel qu’il ressort explicitement du cahier des charges de l’avenant n° 7, signé le 15 octobre 2016 et renouvelé à de nombreuses reprises jusqu’en 2019.
57. La rapporteure estime que l’absence alléguée de modification du fichier après 2017 ne saurait prospérer dans la mesure où la modification n’est pas la seule opération de traitement pouvant prolonger la caractérisation des manquements. Elle note qu’aux termes de l’article 4(2) du RGPD, la conservation, la copie ou la consultation constituent des opérations de traitement. Elle rappelle sur ce point que la société X a été destinataire du fichier en question et l’a conservé dans le cadre de l'archivage des emails de ses salariés.
58. Or la rapporteure note qu’a minima, la réception, et la consultation et la conservation d’un fichier comprenant des données à caractère personnel, établi dans le cadre d’un traitement dont les finalités et les moyens ont été définis par l’intéressé constitue bien, pour ce responsable de traitement, une opération de traitement.
59. La rapporteure considère dès lors que, la conservation du fichier par la société s’étant poursuivie sur une longue durée, certains des manquements commis par la société sont des manquements continus commencés avant l’entrée en application du RGPD mais continués après.
60. La société estime pour sa part que le RGPD n’est pas applicable aux faits de l’espèce dans la mesure où le fichier litigieux, nommé " [...] " date, dans sa version la plus complète, du 22 août 2016. Elle relève que quand bien même la formation restreinte se fonderait sur les déclarations de la société Y, laquelle a indiqué à la CNIL que le fichier n’avait pas été mis à jour après le mois d’avril 2017, la loi applicable serait celle en vigueur à cette époque, et non le RGPD. Elle souligne d’ailleurs que les sociétés Y et XX ne sont pas en mesure de produire ce fichier dans une version mise à jour après août 2016 ni même de retrouver des échanges à ce sujet. La société indique par ailleurs que les métadonnées du fichier démontrent que celui-ci a été mis à jour pour la dernière fois le 19 décembre 2016.
61. La société souligne ensuite que l’avenant n° 7 qui est venu compléter le contrat cadre de prestation de services conclu avec la société Y a été signé en octobre 2016, soit postérieurement à la création du fichier, et que cet avenant ne pouvait donc pas concerner la création du fichier en question. Elle relève par ailleurs que la poursuite ultérieure des relations commerciales avec la société Y n’implique pas que le traitement lié au fichier ait perduré, compte tenu de ce que les relations entre les deux sociétés ne se résumaient pas simplement à ce traitement. Enfin, elle fait valoir que le simple fait que le fichier en question ait pu être conservé dans l’'espace de stockage de la messagerie professionnelle d’un employé ne signifie pas pour autant que le traitement des données à caractère personnel contenues dans ce fichier aurait perduré.
62. La société considère donc que les faits litigieux se sont entièrement déroulés avant l’entrée en application du RGPD et que c’est, par conséquent, la loi " Informatique et Libertés " dans sa version en vigueur au 22 août 2016, voire au plus tard dans sa version en vigueur au mois d’avril 2017, qu’il convient d’appliquer aux faits de l’espèce. Cela implique selon la société que la CNIL aurait dû lui adresser une mise en demeure préalablement à l’engagement d’une procédure de sanction.
63. En premier lieu, la formation restreinte constate que la société X a confié à la société Y une mission large de représentation d’intérêts impliquant un recensement d’informations relatives à des personnalités impliquées dans le débat sur le renouvellement de l’autorisation du [...]. Cette demande a été formulée dans le contrat cadre de prestation de services du 18 juillet 2013 puis dans l’avenant n° 13 du 5 août 2016, lequel prévoyait explicitement la réalisation d’une cartographie des parties prenantes au débat relatif au [...]. La formation restreinte souligne que cette demande d’identification des parties prenantes a été reprise dans un second avenant en date du 15 octobre 2016, identifié comme étant " l’avenant no 7 ", lequel a été renouvelé à de nombreuses reprises jusqu’en 2019, notamment les 1er septembre 2018 et 1er janvier 2019.
64. La tenue du fichier intitulé " [...] ", rassemblant des données à caractère personnel collectées par la société Y a donc été réalisée dans le cadre de la prestation d’identification, de recensement et de cartographie des parties prenantes qui, elle, a perduré jusqu’en 2019.
65. A cet égard, la formation restreinte considère que la circonstance que ce fichier ait été modifié pour la dernière fois au plus tard en avril 2017, soit antérieurement à l’entrée en application du RGPD, est sans effet sur la persistance du traitement des données personnelles, dès lors que le fichier concerné continue d’exister dans le système d’information de la société mise en cause, ou de l’un de ses prestataires agissant pour son compte, jusqu’à une date postérieure à l’entrée en application du RGPD. En l’espèce, le fichier a bien été conservé dans les archives de messagerie électronique d’un employé de la société X.
66. La formation restreinte rappelle que la simple conservation constitue un traitement de données à caractère personnel. Ainsi, dès lors qu’en tant que responsable de traitement, la société X a conservé, y compris avec un statut d’archivage intermédiaire, un fichier contenant des données à caractère personnel, dont elle avait elle-même demandé la réalisation, elle a de son propre fait prolonger l’existence de ce fichier au-delà de l’entrée en application du RGPD.
67. La formation restreinte souligne en outre que la création de ce fichier s’inscrit dans le cadre d’un objectif plus large d’identification, de recensement et de cartographie des parties prenantes au débat sur le renouvellement du [...]. Sur ce point, l’avenant n° 7, renouvelé notamment les 1er septembre 2018 et 1er janvier 2019, contient explicitement des instructions destinées à mettre à jour des cartographies des parties prenantes, ce qui correspond bien à l’objectif poursuivi par le fichier litigieux.
68. Ainsi, si les prestations demandées par la société X à la société Y, concrétisées notamment par l’élaboration du fichier en question, ont commencé avant l’entrée en application du RGPD, elles ont, a minima, par le seul fait de la conservation de ce fichier, perduré après l’entrée en application de ce texte.
69. En second lieu, la formation restreinte relève que les manquements relatifs à l’information des personnes et à l’encadrement des relations entre le responsable de traitement et son sous-traitant sont des manquements continus qui ont persisté après l’entrée en application du RGPD. Elle souligne que si la société a procédé à l’information des personnes, par l’intermédiaire du cabinet YY en 2019, cette information est postérieure à l’entrée en application du RGPD et qu’elle n’a été effectuée qu’après la révélation des faits dans la presse. Or il appartenait à la société d’assurer, elle-même ou par l’intermédiaire de son sous-traitant, l’information des personnes, soit sous l’empire des dispositions applicables avant l’entrée en application du RGPD (notamment au moment de la constitution du fichier), soit en vertu du RGPD, pour régulariser la situation, après l’entrée en application de celui-ci. La formation restreinte note d’ailleurs que l’obligation d’informer les personnes dont les données n’ont pas été collectées auprès d’elles figurait déjà à l’article 32-III de la loi " Informatique et Libertés " dans sa version en vigueur au 5 août 2016, date à laquelle a été signé l’avenant n° 13 prévoyant l’élaboration du fichier. De même, bien qu’ayant un périmètre différent, l’obligation pour un responsable de traitement d’encadrer par un acte juridique ses relations avec son sous-traitant était prévue par l’article 35 de la loi " Informatique et Libertés ".
70. La formation restreinte rappelle sur ce point que dans sa décision du 1er mars 2021, Société Futura Internationale, no 437808, le Conseil d’Etat a confirmé que la CNIL pouvait sanctionner, sur le fondement du RGPD, un manquement continu commencé avant son entrée en application et continué après.
En conséquence, la formation restreinte considère que la loi " Informatique et Libertés ", dans sa version antérieure à l’entrée en application du RGPD, puis le RGPD sont applicables aux faits de l’espèce.
E. Sur le manquement à l’obligation d’informer les personnes concernées en application de l’article 14 du RGPD
71. L’article 14 du RGPD prévoit que lorsque les données à caractère personnel n'ont pas été collectées auprès de la personne concernée par le traitement, le responsable de traitement fournit à cette dernière les éléments visés à ce même article " dans un délai raisonnable après avoir obtenu les données à caractère personnel, mais ne dépassant pas un mois, eu égard aux circonstances particulières dans lesquelles les données à caractère personnel sont traitées " ou " s'il est envisagé de communiquer les informations à un autre destinataire, au plus tard lorsque les données à caractère personnel sont communiquées pour la première fois. "
72. La rapporteure relève que les personnes dont les données à caractère personnel ont été collectées et traitées en l’espèce n’ont été informées de ce traitement qu’en 2019, lorsque la société Z, après avoir racheté la société X, a procédé à l’information des personnes par l’intermédiaire du cabinet YY. Elle estime qu’aucune des exceptions à l’obligation d’information des personnes prévues à l’article 14(5) du RGPD n’est mobilisable en l’espèce.
73. En défense, la société X considère que, dans la mesure où elle n’exerçait aucun contrôle sur les données en question, il ne lui revenait pas de procéder à l’information des personnes concernées. Elle estime que cette obligation incombait à la société Y, qui avait le contrôle sur les données contenues dans le fichier. Elle explique qu’en tout état de cause, l’information des personnes n’aurait présenté que peu d’intérêt dans la mesure où les données en question étaient publiques, que les personnes concernées pouvaient raisonnablement s’attendre à ce que leurs données fassent l’objet d’un tel traitement et qu’elle n’a finalement jamais utilisé ce fichier.
74. En premier lieu, il apparaît à la formation restreinte qu’un traitement de données à caractère personnel, consistant en la collecte d’informations visant à recenser les personnes influentes auprès desquelles une entreprise souhaite représenter ses intérêts peut, sous réserve de certaines conditions, être réalisé sur le fondement de l’intérêt légitime poursuivi par le responsable de traitement. En effet, un traitement tel que celui en cause peut être justifié par la poursuite de l’intérêt légitime du responsable de traitement sous réserve que les intérêts et droits fondamentaux des personnes concernées ne prévalent pas sur les intérêts du responsable de traitement. Cette mise en balance entre les différents intérêts en présence impose notamment de prendre en compte les attentes raisonnables des personnes concernées quant à la nature des données collectées et la façon dont elles sont traitées pour la constitution du traitement litigieux, comme le prévoit le considérant 47 du RGPD.
75. En l’espèce, la formation restreinte note que les personnes dont les données figuraient dans le fichier litigieux pouvaient raisonnablement s’attendre à ce que la société X, ou plus généralement des organismes ayant pour activité la représentation d’intérêts, s’intéressent à leur positionnement dans le débat lié au [...], et traite leurs coordonnées professionnelles ainsi que les informations relatives à leurs prises de position publiques.
76. En effet, les personnes présentes dans le fichier en cause ont pris part au débat public sur l’utilisation du [...] ou des sujets en lien avec cette thématique, que ce soit notamment au travers de l’élaboration de décisions publiques, de leur influence sur la représentation ou la direction d’entreprises ou d’organisations publiques et privées notoirement impliquées sur les sujets écologiques et environnementaux ou encore d’une prise de position publique ou d’une participation active à ces débats. Dès lors, ces personnes pouvaient raisonnablement s’attendre à ce que des acteurs du secteur où elles sont intervenues collectent des informations les concernant à partir de données publiquement et licitement accessibles afin de connaître et comprendre leurs positions et éventuellement d’entrer en contact avec elles.
77. La formation restreinte relève que dans tous les cas, le responsable de traitement qui met en œuvre un tel traitement doit s’assurer du respect des obligations prévues par le RGPD et notamment de l’obligation d’information des personnes afin notamment que celles-ci puissent exercer leurs droits.
78. La formation restreinte rappelle ainsi qu’au titre de l’article 14 du RGPD, les informations que le responsable de traitement doit fournir à la personne concernée sont, notamment, l’identité et les coordonnées du responsable du traitement (et le cas échéant les coordonnées du délégué à la protection des données), les finalités du traitement, sa base juridique, les catégories de données à caractère personnel concernées, le cas échéant les destinataires ou les catégories de destinataires des données, le fait que le responsable du traitement a l'intention d'effectuer un transfert des données vers un pays tiers ainsi que, si cela est nécessaire pour garantir un traitement équitable et transparent, la durée de conservation des données, l'existence des différents droits dont bénéficient les personnes, l’existence du droit de retirer son consentement à tout moment et le droit d’introduire une réclamation auprès d'une autorité de contrôle, la source d’où proviennent les données et l’existence éventuelle d’une prise de décision automatisée.
79. La fourniture de ces informations permet l’exercice par la personne concernée de ses droits auprès du responsable de traitement. Elle contribue ainsi à rendre davantage transparente l’activité de représentation d’intérêts.
80. En second lieu, la formation restreinte rappelle qu’aux termes de l’article 14(5)(b) du RGPD, cette obligation d’information ne s’impose toutefois pas lorsque " la fourniture de telles informations se révèle impossible ou exigerait des efforts disproportionnés " ou lorsque le respect de cette obligation d’information " est susceptible de rendre impossible ou de compromettre gravement la réalisation des objectifs dudit traitement ".
81. S’agissant des exceptions prévues par l’article 14(5)(b) précité, la formation restreinte relève que l’information des personnes figurant dans le fichier intitulé " [...] " n’aurait pas nécessité de la part de la société X des efforts disproportionnés et était, en conséquence, nécessaire. La formation restreinte souligne d’abord que le fichier en cause concernait plus de 200 personnes et que la société disposait pour la quasi-totalité d’entre elles d’une information de contact telle qu’une adresse, un numéro de téléphone ou une adresse de messagerie électronique.
82. La formation restreinte rappelle à cet égard que, dans sa décision du 12 mars 2014, Société Pages Jaunes Groupe, n°353193, le Conseil d’Etat a considéré que l’information par le responsable de traitement de 25 millions de personnes concernées par la collecte de leurs données à caractère personnel n’était pas impossible et ne constituait pas un " effort disproportionné ", compte tenu de l'intérêt qui s'attache au respect des libertés et droits fondamentaux de ces personnes, dès lors notamment que le responsable de traitement disposait des coordonnées utiles pour les contacter.
83. La formation restreinte note d’ailleurs que les personnes concernées ont finalement été informées individuellement en 2019, par l’intermédiaire du cabinet YY, ce qui démontre qu’une information était tout à fait possible.
84. Il n’apparaît pas ensuite que la fourniture d’une information aux personnes concernées relative au traitement mis en œuvre aurait été susceptible de rendre impossible ou de compromettre gravement la réalisation des objectifs dudit traitement. En effet, la formation restreinte note que l’encadrement législatif de l’activité de représentant d’intérêts évolue vers une transparence accrue tant au niveau de l’Union européenne qu’au niveau national. Sur ce point, l’Association française des conseils en lobbying et affaires publiques définit d’ailleurs le lobbying comme " la représentation d’intérêts (…) au travers d’un partage d’information contradictoire et équilibré ", ce qui apparaît incompatible avec un exercice de cette activité de manière opaque, à l’insu des personnes concernées.
85. Enfin, la formation restreinte note que les circonstances invoquées par la société X, à savoir que les données en question étaient publiques, que les personnes concernées pouvaient raisonnablement s’attendre à ce que leurs données fassent l’objet d’un tel traitement et que ce fichier n’a jamais été utilisé par la société, ne constituent pas des motifs de nature à exempter le responsable de traitement de son obligation d’information au regard des dispositions de l’article 14 du RGPD. En outre, contrairement à ce que soutient la société, la responsabilité de s’assurer que l’information a bien été délivrée aux personnes concernées incombe au responsable de traitement et non au sous-traitant.
Dès lors, la formation restreinte considère que les faits précités constituent un manquement à l’article 14 du RGPD.
F. Sur le manquement à l’obligation d’encadrer par un acte juridique formalisé les traitements effectués pour le compte du responsable de traitement
86. L’article 28 du Règlement prévoit que lorsqu’un traitement est effectué par un sous-traitant, ce traitement est régi par un contrat ou un autre acte juridique qui définit l’objet et la durée du traitement, la nature et la finalité du traitement, le type de données à caractère personnel, les catégories de personnes concernées ainsi que les obligations et les droits du responsable de traitement. Ce contrat prévoit en outre les conditions dans lesquelles le sous-traitant s’engage à effectuer pour le compte du responsable de traitement les opérations de traitement.
87. La rapporteure relève qu’en l’espèce, le traitement relatif à la cartographie entre parties prenantes a fait l’objet de plusieurs contrats et avenants successifs entre les sociétés X et Y mais qu’aucun d’entre eux ne contient les informations prévues à l’article 28 du RGPD.
88. En défense, la société rappelle que, pour les motifs déja exprimés aux points 30 à 33, elle n’agissait pas en tant que responsable de traitement et que, par conséquent, l’obligation prévue par l’article 28 du RPGD ne lui est pas opposable.
89. La formation restreinte rappelle que pour les motifs exposés aux points 34 à 43, la société X doit être regardée comme agissant en tant responsable de traitement et la société Y comme sous-traitant.
90. La formation restreinte constate que le traitement de données à caractère personnel en question, effectué par la société Y dans le cadre de la mission de représentation d’intérêts qui lui a été confiée par la société X, trouve son origine dans le contrat cadre de prestation de services signé entre les deux sociétés le 18 juillet 2013. Ce contrat cadre a été complété par plusieurs avenants, en particulier par l’avenant n° 7, dont le cahier des charges a été régulièrement renouvelé jusqu’en mai 2019.
91. Or, la formation restreinte constate qu’aucun de ces actes conclus entre les deux sociétés à partir du 25 mai 2018, date à laquelle l’obligation contenue à l’article 28 du RGPD est devenue applicable, ne contient les informations prévues à cet article 28.
Par conséquent, la formation restreinte considère que ces faits sont constitutifs d’un manquement à l’article 28 du RGPD.
III. Sur les mesures correctrices et la publicité
92. Aux termes du III de l’article 20 de la loi du 6 janvier 1978 modifiée :" Lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l'informatique et des libertés peut également, le cas échéant après lui avoir adressé l'avertissement prévu au I du présent article ou, le cas échéant en complément d'une mise en demeure prévue au II, saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l'une ou de plusieurs des mesures suivantes : […]7° À l'exception des cas où le traitement est mis en œuvre par l'État, une amende administrative ne pouvant excéder 10 millions d'euros ou, s'agissant d'une entreprise, 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l'article 83 du règlement (UE) 2016/679 du 27 avril 2016, ces plafonds sont portés, respectivement, à 20 millions d'euros et 4 % dudit chiffre d'affaires. La formation restreinte prend en compte, dans la détermination du montant de l'amende, les critères précisés au même article 83 ".
93. L’article 83 du RGPD prévoit que " Chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour des violations du présent règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives ", avant de préciser les éléments devant être pris en compte pour décider s'il y a lieu d'imposer une amende administrative et pour décider du montant de cette amende.
94. En défense, la société X soutient que c’est la loi " Informatique et Libertés " - dans sa version en vigueur au 19 décembre 2016 ou, subsidiairement, dans sa version en vigueur en avril 2017 - qui est applicable aux faits de l’espèce et que, dès lors, une mise en demeure aurait nécessairement dû lui être notifiée avant que puisse être engagée une procédure de sanction, pouvant conduire au prononcé d’une amende administrative.
95. La société rappelle qu’outre le fait qu’elle n’a pas la qualité de responsable de traitement, les données figurant dans le fichier litigieux avaient toutes été rendues publiques par les personnes concernées. Elle considère dès lors que le préjudice subi par celles-ci est faible.
96. En outre, la société considère que le montant de l’amende proposé par le rapporteur est disproportionné au regard de la gravité des manquements reprochés mais aussi compte tenu des récentes délibérations de sanction rendues par la formation restreinte.