AgentPublic/cnil huggingface dataset:
61. La formation restreinte estime cependant que le fait que la collecte du consentement des internautes pour la mise en œuvre du traitement en cause revienne aux partenaires n’exonère pas la société de son obligation, en application de l’article 7 du RGPD, d’être en mesure de démontrer que la personne concernée a donné son consentement.
62. Ce double régime de responsabilité permet de garantir qu’à toutes les étapes du traitement des données collectées au titre de la navigation d’un utilisateur sur l’un des sites partenaires de la société, chaque responsable de traitement conjoint respecte les obligations qui lui incombent : pour les partenaires, celles relatives au dépôt et la lecture du cookie X dans le terminal de l’utilisateur et, pour la société, celles relatives aux traitements subséquents opérés à partir des données collectées par le biais de ce cookie.
63. Il convient en effet que les personnes concernées bénéficient effectivement de la protection offerte par les textes en vigueur à laquelle elles ont droit tout au long de leur navigation et, notamment, que leurs données ne sont traitées par la société que si elles y ont préalablement et valablement consenti.
64. En outre, le cœur d’activité de la société consiste à transformer des données brutes de navigation en informations valorisables qu’elle exploite. Dès lors que la société joue un rôle central dans l’écosystème publicitaire, elle doit d’autant plus être en mesure de s’assurer que le traitement en cause respecte la règlementation en vigueur.
65. Enfin, la formation restreinte relève que l’arrêt Fashion ID, invoqué par la société, porte sur la question de savoir qui du gestionnaire du site (la société Fashion Id) ou de l’éditeur du cookie (la société Facebook) devait recueillir le consentement des personnes concernées avant de déposer le cookie édité par Facebook et qu’il a été rendu sous l’empire de la directive 95/46/CE relative à la protection des données. 
66. Dans la mesure où le législateur européen a entendu renforcer les droits des personnes et la responsabilisation des acteurs en instaurant, notamment, l’obligation pour le responsable de traitement d’être en mesure de démontrer que la personne dont il traite les données a effectivement donné son consentement, en application de l’article 7, paragraphe 1, du RGPD, la formation restreinte estime que la référence à l’arrêt Fashion ID n’est en l’espèce pas pertinente.
67. En deuxième lieu, la formation restreinte relève que dans le cadre des vérifications en ligne effectuées lors du contrôle sur place du 16 septembre 2020 et lors du contrôle en ligne du 13 octobre 2020, la délégation a constaté sur sept sites web partenaires de la société qu’un cookie X avait été déposé dans le terminal utilisé à cette occasion, dès son arrivée sur la page d’accueil sans qu’elle ait exécuté la moindre action et ce alors qu’à l’époque de ces constatations, la CNIL avait déjà eu l’occasion de rappeler que de telles pratiques entraient en contrariété directe avec les dispositions de la loi Informatique et Libertés applicables aux cookies.
68. La formation restreinte relève par ailleurs que dans trois cas, le site visité ne permettait pas à l’utilisateur de refuser les cookies autrement qu’en paramétrant son navigateur, ce qui ne constitue pas un mécanisme de refus du consentement valide tandis que, dans deux cas, un cookie X était déposé après que la délégation eut exprimé son refus à ce dépôt.
69. Par ailleurs, dans le cadre du contrôle sur place du 16 septembre 2020, la délégation a constaté que les deux sites visités ne comportaient aucun mécanisme permettant un recueil de consentement au dépôt de cookie, tel qu’un bouton ou une case à cocher. Plusieurs évènements liés à la navigation de ces deux sites ont été enregistrés dans la base de données de la société, tels que la visite des pages des produits vendus par les partenaires de la société.
70. Il ressort de l’ensemble de ces vérifications que l’absence de recueil d’un consentement valable a été constatée par la délégation sur près d’un site visité sur deux. Or la formation restreinte relève également que neuf des douze sites visités par les services de la CNIL ont été indiqués par la société elle-même, au titre de ceux générant le plus de données collectées dans sa base de données.
71. S’il est vrai que la procédure de contrôle n’a pas permis de vérifier l’intégralité des sites des […] partenaires de la société, la formation restreinte considère qu’il peut être raisonnablement inféré des constatations précitées qu’à la date des contrôles, la société traitait un volume important de données de navigation pour lesquelles les internautes n’avaient pas donné un consentement valable.
72. En troisième lieu, la formation restreinte remarque qu’à la date de l’engagement de la procédure de contrôle, la société n’avait mis en œuvre aucune mesure satisfaisante permettant de considérer qu’elle était en conformité avec les exigences de l’article 7, paragraphe 1, du RGPD.
73. Ainsi, la formation restreinte relève qu’au début de la procédure de contrôle, à la question de la délégation visant à connaître les mesures mises en place par la société pour s'assurer de la validité du consentement, dans le cas où elle devait déléguer à un tiers le recueil de ce consentement, cette dernière s’était limitée à reproduire une mention de ses conditions générales d’utilisation, dans leur version applicable de mai 2016, aux termes desquelles la société exigeait de ses partenaires, " lorsque la loi le prévoit ", que la politique de confidentialité de leur site inclue " des mentions et des mécanismes de choix conformes aux lois et réglementations applicables ".
74. Or la formation restreinte considère qu’une telle clause ne permettait pas, à elle seule, de garantir l’existence d’un consentement valide et qu’il convenait à tout le moins qu’elle soit complétée pour préciser que l’organisme qui recueille le consentement doit mettre à disposition de l’autre partie la preuve du consentement, pour que chaque responsable de traitement souhaitant s’en prévaloir puisse en faire effectivement état.
75. En l’occurrence, la formation restreinte relève qu’à la date d’engagement de la procédure de contrôle, cette clause n’était non seulement pas complétée par une clause spécifique portant sur la preuve du consentement, mais encore que la société avait admis également n’avoir jamais résilié de contrat en raison du non-respect par un partenaire de ses obligations contractuelles, ni mis en œuvre aucune autre mesure de contrôle de ses partenaires.
76. En ce sens, la formation restreinte relève que les différentes mesures avancées par la société n’ont été progressivement déployées qu’à partir de 2020, après l’engagement de la procédure de contrôle engagée en janvier 2020.
77. La formation restreinte prend ainsi acte de la campagne d’audits menée par la société auprès de ses partenaires depuis 2020 et du fait que la société a par ailleurs mis fin au contrat la liant à l’un d’entre eux qui ne respectait pas ses obligations en matière de cookies. 
78. Elle relève, de même, que dans les versions ultérieures de ses conditions générales d’utilisation, la société a inséré une clause relative à la preuve du consentement selon laquelle le partenaire s’engage à " fournir rapidement à X, sur demande et à tout moment, la preuve qu’un consentement de la personne concernée a été obtenu par le partenaire ".
79. Au regard de ces éléments, la formation restreinte considère que la société s’est mise en conformité avec les exigences de l’article 7, paragraphe 1, du RGPD.
80. Elle souligne néanmoins que cette mise en conformité, intervenue tardivement, est sans incidence sur le fait que la société a traité les données à caractère personnel d’internautes sans être en mesure de démontrer qu’ils ont valablement consenti au traitement ayant pour finalité l’affichage d’une publicité personnalisée, en violation de l’article 7, paragraphe 1, du RGPD.
D. Sur le manquement aux obligations d’information et de transparence
81. L’article 12, paragraphe 1, du RGPD dispose que : " Le responsable du traitement prend des mesures appropriées pour fournir toute information visée aux articles 13 et 14 ainsi que pour procéder à toute communication au titre des articles 15 à 22 et de l'article 34 en ce qui concerne le traitement à la personne concernée d'une façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples, en particulier pour toute information destinée spécifiquement à un enfant. Les informations sont fournies par écrit ou par d'autres moyens y compris, lorsque c'est approprié, par voie électronique ".
82. Aux termes de l’article 13 du RGPD, le responsable de traitement doit fournir à la personne concernée les informations suivantes :
" a) l'identité et les coordonnées du responsable du traitement et, le cas échéant, du représentant du responsable du traitement ;
b) le cas échéant, les coordonnées du délégué à la protection des données ;
c) les finalités du traitement auquel sont destinées les données à caractère personnel ainsi que la base juridique du traitement ;
d) lorsque le traitement est fondé sur l'article 6, paragraphe 1, point f), les intérêts légitimes poursuivis par le responsable du traitement ou par un tiers ;
e) les destinataires ou les catégories de destinataires des données à caractère personnel, s'ils existent ; et
f) le cas échéant, le fait que le responsable du traitement a l'intention d'effectuer un transfert de données à caractère personnel vers un pays tiers ou à une organisation internationale, et l'existence ou l'absence d'une décision d'adéquation rendue par la Commission ou, dans le cas des transferts visés à l'article 46 ou 47, ou à l'article 49, paragraphe 1, deuxième alinéa, la référence aux garanties appropriées ou adaptées et les moyens d'en obtenir une copie ou l'endroit où elles ont été mises à disposition ".
83. En l’espèce, le rapporteur soutient que l’information fournie par la société aux personnes concernées n’était pas complète en ce qu’elle ne renseignait pas toutes les finalités relatives au traitement en cause dans la version de sa politique de confidentialité applicable à la date des constatations, notamment la finalité relative à l’amélioration de ses technologies.
84. Le rapporteur reproche également un manque de clarté quant à la base juridique du consentement applicable au traitement, dont la société précisait qu’elle diffère en fonction du pays, et quant aux finalités mises en œuvre sur la base de l’intérêt légitime.
85. La société répond avoir mis à jour sa politique de confidentialité. 
86. Elle conteste en tout état de cause le premier grief en considérant qu’elle n’avait pas à spécifier la finalité d’amélioration de ses technologies dès lors que, selon elle, cette finalité comporte des éléments techniques concourant globalement à la même finalité que l’affichage de publicités personnalisées.
87. Sur le second grief, elle fait valoir que les éventuelles ambiguïtés dénoncées par le rapporteur n’ont jamais empêché les personnes concernées d’exercer leurs droits.
88. Dans ses secondes observations, la société avance qu’aucun manquement de sa part aux obligations découlant de l’article 13 du RGPD ne peut lui être reproché dans la mesure où elle ne procèderait qu’à une collecte indirecte des données.
89. La formation restreinte rappelle, en premier lieu, que le RGPD distingue le régime de l’obligation d’information qui s’impose au responsable de traitement en fonction de la nature de la collecte des données : le responsable de traitement est soumis aux dispositions de l’article 13 du RGPD lorsque les données sont collectées directement auprès de la personne concernée et aux dispositions de l’article 14 du RGPD dans le cas contraire.
90. Elle ajoute qu’au point 26 de ses lignes directrices du 29 novembre 2017 sur la transparence, dans leur version révisée du 11 avril 2018, le CEPD rappelle que l’article 13 du RGPD s’applique aussi lorsque les données sont collectées par le responsable de traitement " par observation ", c’est-à-dire lorsque le responsable de traitement collecte les données via l’utilisation de capteurs de toute sorte. 
91. La formation restreinte relève que le Conseil d’Etat a adopté la même interprétation dans une décision rendue avant l’entrée en application du RGPD, en considérant que le fait que la collecte ne nécessite aucune intervention des personnes concernées était sans incidence sur le caractère direct de cette collecte (Conseil d’Etat, 10ème - 9ème chambres réunies, 8 février 2017, JCDecaux, n° 393714).
92. En l’espèce, la formation restreinte relève que les données sont bien collectées par la société directement auprès de l’internaute, dès lors que lorsque ce dernier navigue sur le site web d’un partenaire de la société, les requêtes du cookie X permettant à cette dernière de savoir qu’un internaute arrive sur la page d'accueil, se connecte à un compte ou encore clique sur une page " produit ", sont directement adressées à ses serveurs, sans transiter par un autre responsable de traitement.
93. La collecte des données étant réalisée auprès des personnes, la formation restreinte en conclut que l’article 13 du RGPD s’applique à la société.
94. En deuxième lieu, la formation restreinte relève que les conditions générales d’utilisation des services X prévoient que les partenaires de la société doivent intégrer dans leur site web une politique de protection des données à caractère personnel comportant un lien vers la politique de confidentialité de X.
95. Elle relève que la section " Base juridique du traitement des données " de la politique de confidentialité de la société, dans sa version applicable à la date des constatations, mentionnait que : " Les opérations de traitement de X respectent les réglementations en vigueur, dans les pays exigeant le consentement des utilisateurs pour l’utilisation de cookies ou de toute autre technologie similaire. Ce consentement est recueilli sur les sites Web et les applications mobiles des Annonceurs et des Éditeurs ".
96. Par ailleurs, il était également mentionné sous la même section que : " X considère avoir un intérêt légitime à traiter vos données aux fins exprimées dans la présente politique de confidentialité, notamment pour :
- respecter les accords commerciaux passés avec nos clients et partenaires ;
- permettre à nos Annonceurs de promouvoir leurs produits et services ;
- permettre à nos Éditeurs de financer leurs activités ".
97. La formation restreinte considère, d’abord, que la première formulation crée une incertitude quant à la base juridique du traitement en ce qu’elle ne permet pas aux internautes situés au sein de l’Union européenne de comprendre que le traitement de leurs données repose sur leur consentement. 
98. Elle estime, ensuite, que les finalités annoncées par la société dans la seconde formulation sont exprimées dans des termes vagues et larges qui ne permettent pas à l’utilisateur de comprendre précisément quelles données à caractère personnel sont utilisées et pour quels objectifs. Par ailleurs, la formation restreinte considère contradictoire de mentionner que les finalités relatives à la promotion des produits des annonceurs et au financement des activités des éditeurs reposent sur la base juridique de l’intérêt légitime alors lors que ces finalités sont directement liées au traitement d’affichage de publicité personnalisé, lequel repose, selon la société elle-même, sur la base juridique du consentement des internautes. La formation restreinte ajoute qu’une description aussi approximative et contradictoire des finalités poursuivies sur le fondement de l’intérêt légitime est susceptible d’entraver l’exercice par les personnes concernées de leur droit d’opposition, lequel est intrinsèquement lié à la qualité de l’information délivrée.
99. La formation restreinte relève que la société a répondu à ces lacunes dans la nouvelle version de sa politique de confidentialité, dès lors que cette dernière précise désormais que le consentement s’applique aux personnes résidant dans l’Espace économique européen et qu’elle inclut un tableau synthétisant l’ensemble des finalités de son traitement, dont celles reposant sur la base juridique de l’intérêt légitime, qui comprend une description détaillée de ces finalités et des catégories de données concernées. La formation restreinte observe que la société a également mis fin à la contradiction relevée ci-avant.
100. En troisième lieu, la formation restreinte relève que la rubrique " Finalité du traitement de données personnelles " de la politique de confidentialité de la société, dans sa version applicable à la date des constatations, contenait uniquement la ligne suivante : " X traite vos données personnelles pour des annonces personnalisées ". 
101. Or, dans le cadre du contrôle sur place des 16 et 17 septembre 2020, la société précisait à la délégation que le traitement permettait également " d’optimiser les réponses à donner aux enchères, la sélection d’articles à présenter dans une publicité et proposer la meilleure disposition pour cette bannière ".
102. Si la formation restreinte admet que certaines opérations techniques décrites par la société concourent directement à la finalité principale d’affichage de la publicité personnalisée, elle estime que d’autres servent en revanche une finalité distincte.
103. En effet, la société utilise les données collectées par le biais des cookies afin d’améliorer ses propres technologies (finalité dite de " machine learning ", mobilisant les données collectées par la société pour autoconfigurer des traitements algorithmiques de ciblage). Ainsi, l’objectif principal de ce traitement subséquent vise à améliorer l’efficacité du ciblage publicitaire effectué par X de façon générale. Il s’agit donc d’une finalité distincte, qui devait bien être portée à la connaissance des personnes concernées.
104. La formation restreinte relève que dans la nouvelle version de sa politique de confidentialité, mise en ligne le 4 novembre 2022, la société distingue désormais bien, au sein de la rubrique " Utilisation de vos données ", d’une part, la finalité d’" affichage de la publicité personnalisée " et, d’autre part, la finalité d’ " entrainement des modèles ", définie comme permettant d’ " améliorer les performances des opérations publicitaires de X ".
105. Il résulte de ce qui précède qu’en ne délivrant pas aux personnes concernées l’intégralité des informations prévues, en ayant recours à des termes insuffisamment clairs et précis et en présentant une base juridique des traitements erronée, la société a manqué à ses obligations de transparence et d’information prévues aux articles 12 et 13 du RGPD. Elle prend toutefois acte de ce que la société s’est mise en conformité durant la présente procédure.
E. Sur le manquement à l’obligation de respecter le droit d’accès des personnes concernées aux données à caractère personnel les concernant
 
106. L’article 12, paragraphe 1, du RGPD dispose que : " Le responsable du traitement prend des mesures appropriées pour fournir toute information visée aux articles 13 et 14 ainsi que pour procéder à toute communication au titre des articles 15 à 22 et de l'article 34 en ce qui concerne le traitement à la personne concernée d'une façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples ".
107. L’article 15, paragraphe 1, du RGPD prévoit que : " La personne concernée a le droit d’obtenir du responsable de traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées et, lorsqu’elles le sont, l’accès auxdites données à caractère personnel […] ".
108. En l’espèce, dans le cadre des investigations menées par la CNIL, la société a fourni à la délégation trois exemples de réponses adressées à des personnes concernées ayant formulé des demandes d’accès. 
109. Il en ressort que lorsqu’une personne exerçait auprès d’elle son droit d’accès, la société lui transmettait les données extraites des trois tables suivantes :
- la table " Advertiser_advent ", qui stocke toutes les données liées aux évènements de l’annonceur ;
- la table " Banner_display ", qui stocke toutes les données nécessaires pour permettre d’afficher une publicité à l’utilisateur (par exemple, le pays de l’utilisateur, les données liées à l’annonceur ou encore la version du système d’exploitation de l’appareil de l’utilisateur) ;
- la table " Click_cas ", qui stocke toutes les données liées aux interactions d’un utilisateur avec les bannières publicitaires.
110. Le rapporteur considère que la société ne répondait que partiellement aux demandes de droit d’accès dont elle était saisie dès lors qu’elle ne communiquait pas les données figurant dans trois autres tables :
- la table " Usermatching ", qui contient les informations permettant de réconcilier des identifiants X (dans le cas où un même utilisateur utilise plusieurs appareils) de manière " déterministe " (la société se base sur des informations fournies par ses partenaires, comme un numéro de carte de fidélité, un identifiant Apple ou Android, et / ou une adresse de messagerie électronique sous forme hachée pour créer un lien entre deux identifiants X) ; 
- la table " bc_tcp_timestamp ", qui contient les informations permettant la réconciliation d’identifiants de manière " probabiliste " (la société applique un modèle de prédiction à partir des données liées à deux identifiants qu’elle pense correspondre à un même utilisateur) ;
- la table " Bid_request ", qui contient les informations liées aux évènements relatifs au protocole d’enchères en ligne.
111. Il estime également que l’information fournie n’était pas intelligible pour l’utilisateur dès lors que la société se contentait d’une description sommaire de l’objectif de chaque table sans toutefois fournir d’explications sur l’objectif de chacune des colonnes figurant dans ces tables, ni sur leur contenu.
112. La société fait valoir que ses procédures en cas de demandes formulées au titre du droit d’accès respectent les exigences de l’article 15 du RGPD. Plus particulièrement, elle revient sur chacune des trois tables listées par le rapporteur et explique pourquoi, en cas de demande d’accès, elle ne communiquait pas les données qu’elles contenaient. 
113. S’agissant de la table " Usermatching ", la société avance celle-ci ne contient que des données permettant la réconciliation de l’identifiant X avec d’autres identifiants, mais qu’elle s’était néanmoins engagée à fournir ces données dans le cadre de ses réponses à des demandes d’accès dès novembre 2022.
114. S’agissant de la table " bc_tcp_timestamp ", la société explique celle-ci s’appuie sur une méthode probabiliste et peut potentiellement réconcilier deux personnes distinctes, de sorte que la communication des données risque de porter atteinte aux droits et intérêts de tiers dans l’hypothèse où les données se rapportant à une autre personne seraient communiquées à l’auteur de la demande d’accès. Pour cette raison, elle a exclu cette table de ses réponses aux demandes d’accès.
115. S’agissant de la table " bid_request ", la société expose que celle-ci contient environ 400 champs relatifs aux demandes d’enchères, de sorte qu’il s’agit essentiellement de données techniques et que les données restantes sont identiques à celles figurant dans la table " Banner_display " déjà communiquée par la société. Elle précise cependant qu’elle s’était engagée à fournir l’ensemble de ces données dans le cadre de ses réponses à des demandes d’accès avant mars 2023, le temps de mettre en œuvre un plan d’action qui lui permettrait d’extraire ces données par profil.
116. Sur l’intelligibilité de l’information fournie aux personnes concernées, elle indique avoir complété les explications par un tableau listant, pour chaque table, la nature des données traitées, et fournissant une description et des exemples de données, qu’elle transmet dans sa réponse à des demandes d’accès. 
117. La formation restreinte prend acte des explications données par la société pour la table " bc_tcp_timestamp " et estime en effet que la société n’avait pas à communiquer les données de cette table dans la mesure où elles peuvent concerner plusieurs personnes sans que la société soit en mesure d’identifier avec certitude quelles données concernent exclusivement la personne à l’origine de la demande.