AgentPublic/cnil huggingface dataset:
86. En second lieu, la formation restreinte rappelle que si le droit pour une personne de ne pas participer à sa propre incrimination implique que l’accusation ne peut fonder son argumentation en recourant à des éléments de preuve obtenus par la contrainte ou les pressions, elle considère que l’ensemble des informations recueillies par la CNIL l’ont été dans le cadre de la procédure de contrôle fondée sur l’article 19 de la loi Informatique et Libertés. La formation restreinte relève que la société a été mise en mesure d’émettre des observations à l’issue de la rédaction du procès-verbal mais également de contester l’analyse faite de ces déclarations. Or, la formation restreinte relève que la société ne conteste pas avoir eu recours jusqu’en octobre 2019 au protocole "HTTP ". Enfin, la formation restreinte note que le conseil de la société, [...], était présent lors du contrôle sur place réalisé le 1er octobre 2020 par la CNIL. La formation restreinte considère qu’il n’y a pas eu de contrainte contraire à l’article 6 de la Convention européenne des droits de l’homme lorsque les salariés de la société […] ont volontairement fait des déclarations concernant l’utilisation du protocole "HTTP " au cours de la procédure de contrôle.
87. En conséquence, dès lors que la société […] a méconnu une mesure de sécurité élémentaire et fait encourir des risques pour la sécurité des données à caractère personnel de ses utilisateurs jusqu’en octobre 2019, la formation restreinte considère que les faits précités constituent un manquement aux obligations de l’article 32 du RGPD pour les faits passés.
b. Sur l’absence de sécurité relative au stockage des mots de passe des utilisateurs du site web
88. La rapporteure relève que la délégation a constaté que la société conserve les mots de passe des utilisateurs du site web dans un format obtenu par un procédé en trois étapes : les mots de passe sont transformés une première fois à l’aide de l’algorithme de hachage MD5, ensuite le résultat obtenu est transformé une seconde fois via la fonction "password_hash " du langage de programmation PHP utilisée par défaut avec l’algorithme Bcrypt et enfin, le résultat obtenu est stocké dans la base de données de la société. La rapporteure considère que ces modalités de stockage des mots de passe sont insuffisantes pour assurer la sécurité des données à caractère personnel auxquelles ils permettent d’accéder (espace personnel contenant notamment les nom, prénom, date de naissance, adresse électronique et sexe de la personne concernée).
89. En défense, la société reconnaît que l’algorithme MD5 n’apporte pas les garanties suffisantes pour conserver des hash sécurisés de mot de passe, raison pour laquelle elle a décidé de le coupler avec la fonction Bcrypt. La société indique que cette technique permettrait de créer des mots de passe plus longs et donc plus robustes. Elle soutient que cette technique est toujours largement utilisée par les sites internet et qu’elle était considérée jusque très récemment comme une technique valable en matière de sécurité puisque ce n’est que depuis 2020 que certains chercheurs pointent les limites de cette méthode. En outre, la société indique qu’aucune attaque n’a été documentée et dès lors, que le risque élevé évoqué par la rapporteure est hypothétique et ne justifie pas le prononcé d’une sanction. Enfin, la société a indiqué avoir supprimé le pré-hachage depuis le 7 septembre 2022 ainsi que l’ensemble des mots de passe des utilisateurs qui devront à leur prochaine connexion, mettre à jour leur mot de passe. La société a précisé que les nouveaux mots de passe seront stockés selon les modalités de cette nouvelle méthode qui représente une fonction de chiffrement "non réversible et sûre ".
90. En premier lieu, la formation restreinte rappelle que la conservation des mots de passe de manière sécurisée constitue une précaution élémentaire en matière de protection des données à caractère personnel.
91. La formation restreinte rappelle également à titre d’éclairage que depuis 2013, l'ANSSI précise les bonnes pratiques s’agissant de la conservation des mots de passe en indiquant qu’ils doivent "être stockés sous une forme transformée par une fonction cryptographique à sens unique (fonction de hachage) et lente à calculer telle que PBKDF2 " et que "la transformation des mots de passe doit faire intervenir un sel aléatoire pour empêcher une attaque par tables précalculées ".
92. La formation restreinte relève également que la Commission recommande dans sa délibération portant adoption d’une recommandation relative aux mots de passe, n° 2017-012 du 19 janvier 2017, "qu'il soit transformé au moyen d'une fonction cryptographique non réversible et sûre (c'est-à-dire utilisant un algorithme public réputé fort dont la mise en œuvre logicielle est exempte de vulnérabilité connue), intégrant l'utilisation d'un sel ou d'une clé. ".
93. La formation restreinte considère que les recommandations de l’ANSSI et de la CNIL sont mobilisés à titre d’éclairage et exposent les précautions élémentaires de sécurité correspondant à l’état de l’art.
94. La formation restreinte rappelle que si elle est techniquement possible, la combinaison d’algorithme cryptographique pour assurer le stockage de données à caractère personnel n’est pas recommandée.
95. La formation restreinte relève, en l’espèce, que l’algorithme MD5 n’est plus considéré comme à l’état de l’art depuis 2004 et que son utilisation en cryptographie ou en sécurité est proscrite. Elle rappelle que l’ANSSI l’a ensuite retiré du référentiel général de sécurité dès 2014, rappelant que l’algorithme MD5 était considéré comme "définitivement cassé ". 
96. La formation restreinte considère également que le procédé consistant à transformer préalablement le mot de passe au moyen de la fonction MD5 introduit ensuite une vulnérabilité dans la fonction Bcrypt. Elle rappelle que l’Open Web Application Security Project (OWASP) déconseille cette pratique car elle introduit un risque de forme particulière d’attaque par bourrage d’identifiants dès lors que la fonction Bcrypt est combinée avec une autre fonction, telles que la fonction MD5. La formation restreinte relève qu’une telle configuration expose les données à un risque d’attaque basée sur la réutilisation des couples MD5 et mots de passe issus de bases de données fuitées.
97. Dès lors, la formation restreinte considère que la politique de gestion des mots de passe de la société ne mobilise pas de mesures satisfaisantes pour assurer la sécurité des données à caractère personnel auxquelles ils permettent d’accéder.
98. En second lieu, la formation restreinte rappelle que la survenance d’une attaque ou d’une violation de données n’est pas nécessaire à la caractérisation d’un manquement à l’article 32 du RGPD.
99. En conséquence, la formation restreinte considère que les faits précités constituent un manquement à l’article 32 du RGPD. Elle relève néanmoins que la société […] a indiqué avoir mis en œuvre une nouvelle méthode de stockage des mots de passe à l’aide d’une fonction de chiffrement non réversible et sûre depuis le 7 septembre 2022, de sorte qu’il n’y a pas lieu à adresser d’injonction à la société sur ce point. La formation restreinte rappelle cependant que les mesures de mises en conformité effectuées ne sauraient exonérer la société de sa responsabilité pour le passé.
G. Sur le manquement aux obligations de l’article 82 de la loi Informatique et Libertés
100. Aux termes de l’article 82 de la loi Informatique et Libertés, transposant l’article 5, paragraphe 3, de la directive "ePrivacy ", il est prévu que : "tout abonné ou utilisateur d’un service de communications électroniques doit être informé de manière claire et complète, sauf s’il l’a été au préalable, par le responsable du traitement ou son représentant : 
1° De la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans son équipement terminal de communications électroniques, ou à inscrire des informations dans cet équipement ;
2° Des moyens dont il dispose pour s’y opposer.
Ces accès ou inscriptions ne peuvent avoir lieu qu’à condition que l'abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son consentement qui peut résulter de paramètres appropriés de son dispositif de connexion ou de tout autre dispositif placé sous son contrôle.
Ces dispositions ne sont pas applicables si l’accès aux informations stockées dans l’équipement terminal de l’utilisateur ou l’inscription d’informations dans l’équipement terminal de l’utilisateur :
1° Soit, a pour finalité exclusive de permettre ou faciliter la communication par voie électronique ;
2° Soit, est strictement nécessaire à la fourniture d'un service de communication en ligne à la demande expresse de l’utilisateur ".
a. Sur le dépôt de cookie sur le terminal de l’utilisateur sans recueil de son consentement
101. La rapporteure relève que lors du contrôle en ligne du 1er décembre 2020, la délégation a constaté lors de deux sessions de navigation différentes, à partir d’un historique de navigation vierge et avant toute action de sa part, que deux cookies étaient déposés sur son terminal dès son arrivée sur la page d’accueil du site web […]. La rapporteure relève que la société a indiqué que l’un de ces cookies, le cookie dénommé "[…]" avait pour finalité la diffusion de publicité ciblée.
102. En défense, la société ne conteste pas les faits décrits par la rapporteure. Elle soutient néanmoins que le dépôt du cookie publicitaire avant toute action de l’utilisateur découlait de sa double finalité, technique et publicitaire et indique avoir finalisé sa mise en conformité dès le 21 décembre 2020. Au cours des échanges, elle démontre par la communication d’un procès-verbal d’huissier, qu’à compter du 29 août 2022, aucun cookie autre que strictement technique n’est plus déposé sur le terminal des utilisateurs avant que leur consentement ne soit recueilli.
103. La formation restreinte rappelle que l’article 82 de loi Informatique et Libertés prévoit expressément que les opérations d’accès ou d’inscription d’informations dans le terminal d’un utilisateur ne peuvent avoir lieu qu’après que ce dernier ait exprimé son consentement, seuls les cookies ayant pour finalité exclusive de permettre ou de faciliter la communication par voie électronique, ou les cookies étant strictement nécessaires à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur, étant exemptés de cette obligation.
104. La formation restreinte considère que les cookies publicitaires, n’ayant pas pour finalité exclusive de permettre ou faciliter la communication par voie électronique et n’étant pas strictement nécessaires à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur, ne peuvent être déposés ou lus sur le terminal de la personne, conformément à l’article 82 de la loi Informatique et Libertés, tant qu’elle n’a pas fourni son consentement.
105. En conséquence, la formation restreinte considère qu’en permettant le dépôt et la lecture du cookie "[…] " sur le terminal des personnes lors de leur arrivée sur le site […], sans recueillir préalablement leur consentement, alors qu’il a pour finalité la diffusion de publicité ciblée, la société a privé celles-ci de la possibilité qui leur a été attribuée par l’article 82 de la loi Informatique et Libertés, d’exercer un choix quant au dépôt de traceurs sur leur équipement terminal. La formation restreinte relève que plusieurs millions de personnes ont été concernées, la société revendiquant environ 276 millions de visiteurs uniques du site web […]entre le mois de février 2020 et de février 2021
106. La formation restreinte relève que la société […] a démontré au cours de la procédure, qu’à compter du 29 août 2022 aucun cookie autre que strictement technique n’est plus déposé sur le terminal des utilisateurs avant que leur consentement ne soit recueilli, de sorte qu’il n’y a pas lieu à adresser d’injonction à la société sur ce point. Elle rappelle néanmoins que les mesures de mises en conformité effectuées ne sauraient exonérer la société de sa responsabilité pour le passé.
b. Sur l’insuffisance du mécanisme proposé aux utilisateurs pour refuser le dépôt de cookies
107. La rapporteure relève que la délégation a constaté, lors du contrôle en ligne du 1er décembre 2020, la présence d’un mécanisme permettant aux utilisateurs de "paramétrer les cookies " (mécanisme dit de "Consent Management Platform ", ci-après CMP). Lors de ce contrôle, la délégation a cliqué sur la case intitulée "REFUSER TOUT ", situé en bas à droite de la CMP s’affichant sur le site. Cependant, la rapporteure a relevé que le cookie à finalité publicitaire "[…] ", qui avait déjà été déposé, demeurait stocké sur l’équipement terminal de l’utilisateur. Ensuite, la rapporteure a relevé qu’après avoir navigué vers une autre page du site pour consulter un article en ligne, la délégation a relevé que le même cookie "[…] " précédemment déposé, demeurait stocké sur l’équipement terminal de l’utilisateur. Enfin, la rapporteure a également relevé que la délégation a constaté le dépôt sur l’équipement terminal de l’utilisateur de deux nouveaux cookies ayant pour finalité la diffusion de publicité ciblée dénommés "[…] " et "[…] ", respectivement déposés par des tiers, les partenaires […], sous les noms de domaine "[…] " et "[…] ", malgré le refus exprimé par l’utilisateur.
108. En défense, la société ne conteste pas les faits décrits par la rapporteure. Néanmoins, la société rappelle le contexte particulier dans lequel le contrôle en ligne est intervenu puisque la CNIL avait publié le 17 septembre 2020 ses nouvelles lignes directrices concernant les cookies qui ont eu d’importantes conséquences sur les outils de collecte du consentement et de refus des cookies. En outre, la société soutient que des dysfonctionnements techniques non-intentionnels ont engendré le dépôt des deux cookies publicitaires après refus de la délégation et produit un échange extrait d’un forum […] datant de janvier 2021 dans lequel un éditeur d’un site internet fait remonter un dysfonctionnement aux services de […] relatif au cookie dénommé "[…] ". Elle soutient en conséquence que le manquement est non-intentionnel. Enfin, la société démontre par la communication du procès-verbal d’huissier précité, qu’à compter du 29 août 2022, en cas de refus de l’utilisateur aucun cookie autre que strictement technique n’est plus déposé sur son terminal.
109. En premier lieu, la formation restreinte relève d’abord que des opérations de lecture et / ou d’écriture d’informations dans l’équipement terminal de communications électroniques de l’utilisateur ont lieu après qu’il a exprimé son refus au dépôt et à la lecture de cookies à finalité publicitaire et navigué vers une autre page du site web. La formation restreinte considère que les moyens fournis aux personnes pour leur permettre de refuser toute action tendant à accéder à des informations déjà stockées dans leur équipement terminal ou à inscrire des informations dans cet équipement sont ineffectifs.
110. Ensuite, la formation restreinte considère que la société […], en tant qu’elle édite le site web […], a une part de responsabilité dans le respect des obligations de l’article 82 de la loi Informatique et Libertés pour les opérations de lecture et / ou d’écriture d’informations effectuées dans le terminal des utilisateurs lors de la visite de son site web, y compris celles réalisées par des tiers qui sont ses partenaires commerciaux. La formation restreinte rappelle que le Conseil d’Etat a jugé qu’au titre des obligations qui pèsent sur l'éditeur de site, figurent celle de s'assurer auprès de ses partenaires, d’une part, qu'ils n'émettent pas, par l'intermédiaire de son site, des traceurs qui ne respectent pas la règlementation applicable en France et, d’autre part, celle d'effectuer toute démarche utile auprès d'eux pour mettre fin à des manquements (CE, 6 juin 2018, Editions Croque Futur, n°412589). La formation restreinte rappelle qu’elle a déjà sanctionné un manquement à l’article 82 de la loi précitée en lien avec des opérations de lecture et / ou d’écriture d’informations effectuées par des tiers dans le terminal des utilisateurs dans la délibération n° SAN-2021-013 du 27 juillet 2021 à l’encontre de la […].
111. En deuxième lieu, la formation restreinte rappelle que la CNIL a mis en œuvre un plan de mise en conformité sur la question des cookies étalé sur plusieurs années et qu’elle a particulièrement communiqué sur ces évolutions, notamment dès 2019 sur son site web, ou encore le 1er octobre 2020 à l’occasion de la publication des lignes directrices et de la recommandation du 17 septembre 2020. La mise en conformité devait avoir eu lieu pour le 1er avril 2021 et des centaines de milliers d’acteurs, des plus petits sites aux plus importants, se sont mis en conformité et ont introduit sur leur interface de recueil du consentement un bouton "Refuser " ou "Continuer sans accepter ". La formation restreinte relève que les manquements constatés lors du contrôle en ligne du 1er décembre 2020, qui portent sur le dépôt de cookies sur le terminal de l’utilisateur sans son consentement et avant toute action ainsi qu’après qu’il ait cliqué sur le bouton "TOUT REFUSER ", étaient des pratiques identifiées par la CNIL comme étant contraires à l’article 82 de la loi Informatique et Libertés dès 2013. Elle considère que le contexte de publication par la CNIL de ses nouvelles lignes directrices concernant les cookies, dans lequel s’inscrit le contrôle du 1er décembre 2020 ne permet donc pas d’atténuer la portée des manquements relevés et que la société se devait d’être à la fois particulièrement vigilante quant au respect de ses obligations en matière de cookies et également attentive aux
évolutions de la réglementation en la matière, notamment à la suite du renforcement des conditions du consentement consécutif à l’entrée en application du RGPD.
112. En troisième lieu, au regard des échanges et des pièces communiquées dans le cadre de l’instruction, la formation restreinte considère que les dysfonctionnements invoqués par la société ne permettent pas de minimiser sa responsabilité en ce qu’ils sont postérieurs au contrôle de la CNIL et concernent un autre éditeur de site internet. La formation restreinte considère, en tout état de cause, qu’il revenait à […] de s’assurer du respect des obligations de l’article 82 de la loi Informatique et Libertés et ainsi de s’assurer auprès de ses partenaires qu’ils n’émettaient pas, par l’intermédiaire de son site, des traceurs qui ne respectent pas la règlementation applicable en France et d’effectuer toute démarche utile auprès d’eux pour mettre fin à des manquements, ce que la société n’a fait qu’après le contrôle de la CNIL du 1er décembre 2020. 
113. En conséquence, il résulte de l’ensemble de ces éléments qu’en déposant des cookies soumis à consentement sur le terminal de l’utilisateur avant toute action de sa part et en privant d’effet le refus du dépôt et de la lecture des cookies à finalité publicitaire, la société […] a méconnu les dispositions de l’article 82 de la loi Informatique et Libertés.
114. La formation restreinte relève que la société […] a démontré au cours de la procédure, qu’à compter du 29 août 2022 aucun cookie autre que strictement technique n’est déposé sur le terminal des utilisateurs avant que leur consentement ne soit recueilli, ni en cas de refus des utilisateurs, de sorte qu’il n’y a pas lieu à adresser d’injonction à la société sur ce point. Elle rappelle néanmoins que les mesures de mises en conformité effectuées ne sauraient exonérer la société de responsabilité pour le passé.
III. Sur les mesures correctrices et leur publicité
115. Aux termes du III de l’article 20 de la loi du 6 janvier 1978 modifiée :
"Lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l'informatique et des libertés peut également, le cas échéant après lui avoir adressé l'avertissement prévu au I du présent article ou, le cas échéant en complément d'une mise en demeure prévue au II, saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l'une ou de plusieurs des mesures suivantes : […] 7° À l'exception des cas où le traitement est mis en œuvre par l'État, une amende administrative ne pouvant excéder 10 millions d'euros ou, s'agissant d'une entreprise, 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l'article 83 du règlement (UE) 2016/679 du 27 avril 2016, ces plafonds sont portés, respectivement, à 20 millions d'euros et 4 % dudit chiffre d'affaires. La formation restreinte prend en compte, dans la détermination du montant de l'amende, les critères précisés au même article 83. "
116. L’article 83 du RGPD prévoit que "Chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour des violations du présent règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives ", avant de préciser les éléments devant être pris en compte pour décider s'il y a lieu d'imposer une amende administrative et pour décider du montant de cette amende.
A. Sur le prononcé d’une amende administrative et son montant
a. Sur le prononcé d’une amende administrative
117. La société considère que l’amende administrative proposée est disproportionnée par rapport aux manquement allégués portant sur des faits anciens et à sa conduite puisqu’elle a mis en œuvre les mesures de remédiation nécessaires.
118. La formation restreinte rappelle qu’elle doit tenir compte, pour le prononcé d’une amende administrative, des critères précisés à l’article 83 du RGPD, tels que la nature, la gravité et la durée de la violation, la portée ou la finalité du traitement concerné, le nombre de personnes affectées, les mesures prises par le responsable du traitement pour atténuer le dommage subi par les personnes concernées, le fait que la violation a été commise par négligence, le degré de coopération avec l’autorité de contrôle et dans certain cas, le niveau de dommage subi par les personnes.
119. La formation restreinte relève d’abord le nombre et l’étendue des manquements reprochés à la société, au nombre de cinq dont quatre manquements au RGPD. 
120. S’agissant du manquement au principe de limitation de la durée de conservation des données à caractère personnel, la société a fait preuve d’une négligence en conservant les données relatives aux tests réalisés par les utilisateurs du site web […] pour une durée excédant les finalités pour lesquelles elles étaient traitées. La formation restreinte note, toutefois, qu’il s’agit d’un manquement résultant du non-respect par le sous-traitant de ses propres obligations contractuelles et que la société […] a rompu tout lien contractuelle avec celui-ci. Concernant les durées de conservation des comptes créés par les utilisateurs du site web, la formation restreinte rappelle que les mesures prises par la société ne permettaient pas d’anonymiser les données à caractère personnel de l’utilisateur dont le compte était inactif depuis plus de trois ans. Elle relève que ce manquement concerne un nombre important de personnes, la société revendiquant environ […] utilisateurs disposant d’un compte créé à partir du site web et […] utilisateurs ayant répondu à une question d’un test ayant pour thème la santé.