AgentPublic/cnil huggingface dataset:
Ce rapport proposait à la formation restreinte de la Commission de prononcer une amende administrative à l’encontre de la société [X], ainsi qu’une injonction de mettre en conformité le traitement consistant en des opérations de lecture et/ou d’écriture d’informations effectuées à partir du site web " [V].com " dans le terminal des utilisateurs résidant en France avec les dispositions de l’article 82 de la loi " Informatique et Libertés ", assortie d’une astreinte. Il proposait également que cette décision soit rendue publique et ne permette plus d’identifier nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.
Par courrier du 6 septembre 2021, la société a sollicité un délai complémentaire auprès du président de la formation restreinte pour produire ses observations en réponse au rapport de la rapporteure, qui lui a été accordé le 9 septembre suivant, sur le fondement de l’article 40, alinéa 4, du décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi " Informatique et Libertés " (ci-après " le décret du 19 mai 2019 ").
Le 8 octobre 2021, la société a produit des observations en réponse au rapport de la rapporteure.
Le 18 octobre 2021, la rapporteure a demandé au président de la formation restreinte un délai supplémentaire pour répondre aux observations de la société, qui lui a été accordé le 21 octobre suivant, ce dont la société a été informée le même jour.
Le 28 octobre 2021, la rapporteure a répondu aux observations de la société.
Le 29 octobre 2021, la société a sollicité auprès du président de la formation restreinte une extension du délai pour produire ses observations à la réponse de la rapporteure, qui lui a été accordée le 4 novembre suivant.
Le 21 novembre 2021, la société a présenté de nouvelles observations en réponse à celles de la rapporteure.
Le 29 novembre 2021, la société a formulé la demande que les données expressément identifiées dans ses écritures comme relevant du secret des affaires ne soient pas divulguées au public lors de la séance de la formation restreinte, à laquelle le président de la formation restreinte a fait droit par un courrier du 30 novembre 2021.
La société et la rapporteure ont présenté des observations orales lors de la séance de la formation restreinte du 2 décembre 2021.
Le 6 décembre 2021, la société a adressé au président de la formation restreinte et à la rapporteure des éléments complémentaires rendant compte d’une mise à jour en cours de déploiement sur le site web " [V].com ".
Motifs de la décision
A.Sur la compétence de la CNIL
Sur la compétence matérielle de la CNIL et la non-application du mécanisme de " guichet unique " prévu par le RGPD
Les dispositions de la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques - telle que modifiée par la directive 2006/24/CE du 15 mars 2006 et par la directive 2009/136/CE du 25 novembre 2009 (ci-après la " directive " ePrivacy ") - qui sont relatives au stockage ou à l’accès à des informations déjà stockées dans l’équipement terminal d’un abonné ou d’un utilisateur, ont été transposées en droit interne à l’article 82 de la loi " Informatique et Libertés ", au sein du chapitre IV " Droits et obligations propres aux traitements dans le secteur des communications électroniques " de cette loi.
Aux termes de l’article 16 de la loi " Informatique et Libertés ", " la formation restreinte prend les mesures et prononce les sanctions à l'encontre des responsables de traitements ou des sous-traitants qui ne respectent pas les obligations découlant […] de la présente loi ". Selon l’article 20, paragraphe III, de cette même loi, " lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant […] de la présente loi, le président de la Commission nationale de l'informatique et des libertés […] peut saisir la formation restreinte ".
La rapporteure considère que la CNIL est matériellement compétente en application de ces dispositions pour contrôler et, le cas échéant, sanctionner les opérations d’accès ou d’inscription d’informations effectuées par la société dans les terminaux des utilisateurs du réseau social [V] résidant en France et, plus particulièrement, le fait que la société méconnaisse la liberté du consentement des internautes en ne mettant pas à leur disposition un moyen de refuser les opérations de lecture et/ou d’écriture d’informations dans leur terminal qui présente le même degré de simplicité que celui prévu pour en accepter l’usage.
La société conteste cette compétence au motif que le manquement qui lui est reproché ne relèverait pas de la directive " ePrivacy ".
Elle avance que, contrairement aux sociétés [A] et [B] qui ont été sanctionnées par la formation restreinte en décembre 2020 pour un manquement à l’interdiction de déposer des cookies sans avoir préalablement recueilli le consentement des personnes (décisions CNIL, formation restreinte, 7 décembre 2020, SAN-2020-012 et SAN-2020-013), il lui est seulement reproché, au titre de la présente procédure, d’avoir violé la règle selon laquelle il doit être aussi simple pour les utilisateurs de refuser le dépôt de cookies que d'y consentir.
Or, selon la société, cette règle ne résulterait en tant que telle d’aucune disposition légale ou règlementaire applicable et serait une création de la CNIL, formalisée dans les délibérations du 17 septembre 2020 n° 2020-091 portant adoption de lignes directrices relatives à l’application de l’article 82 de la loi du 6 janvier 1978 modifiée aux opérations de lecture et/ou d’écriture dans le terminal d’un utilisateur (notamment aux " cookies et autres traceurs ") et n° 2020-092 portant adoption d’une recommandation proposant des modalités pratiques de mise en conformité en cas de recours aux " cookies et autres traceurs " (ci-après les lignes directrices et recommandation du 17 septembre 2020 ").
La société considère qu’à supposer que cette règle existe réellement, elle ne pourrait matériellement relever que du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (ci-après le " Règlement " ou le " RGPD "), comme l’aurait d’ailleurs partiellement reconnu la CNIL dans une communication du 2 avril 2021 mise en ligne sur son site web en indiquant que " la seule présence d’un bouton " Paramétrer " en complément du bouton " Tout accepter " tend, en pratique, à dissuader le refus et ne permet donc pas de se mettre en conformité avec les exigences posées par le RGPD ".
La société en tire comme conséquence qu’il conviendrait d’appliquer le mécanisme de " guichet unique " prévu au chapitre VII de ce Règlement à la présente procédure. Au titre de ce mécanisme, dès lors que la société [X], qui a la qualité de responsable du traitement en cause, est établie en Irlande et que son administration centrale est située dans ce pays, l’autorité de contrôle compétente pour connaître des faits qui lui sont reprochés ne serait pas la CNIL mais l’autorité de protection des données irlandaise, la Data Protection Commissionner (ci-après " la DPC ").
En premier lieu, la formation restreinte rappelle qu’il convient d’opérer une distinction entre, d’une part, les opérations consistant à déposer et à lire des cookies dans le terminal d’un utilisateur et, d’autre part, l’utilisation ultérieure qui est faite des données générées par ces cookies, par exemple à des fins de profilage, désignée sous l’expression " traitements subséquents " (dits également " ultérieurs ").
Elle souligne que chacune de ces deux étapes successives est soumise à un régime juridique différent : tandis que les opérations de lecture et/ou d’écriture sont régies par des règles spéciales, fixées par l’article 5, paragraphe 3, de la directive " ePrivacy ", les traitements subséquents relèvent quant à eux du RGPD et, à ce titre, peuvent être soumis au mécanisme de " guichet unique " dans l’hypothèse où ils seraient transfrontaliers.
Elle rappelle qu’il ressort des dispositions citées ci-avant que le législateur français a chargé la CNIL de veiller au respect des dispositions de la directive " ePrivacy " transposées à l’article 82 de la loi " Informatique et Libertés ", en lui confiant notamment le pouvoir de sanctionner toute méconnaissance de cet article. Elle souligne que cette compétence a notamment été reconnue par le Conseil d’État dans sa décision Association des agences-conseils en communication du 19 juin 2020 concernant la délibération de la CNIL n° 2019-093 portant adoption de lignes directrices relatives à l’application de l’article 82 de la loi du 6 janvier 1978 modifiée aux opérations de lecture et/ou écriture dans le terminal d’un utilisateur. Le Conseil d’État a en effet relevé que " l’article 20 de cette loi confie [au] président [de la CNIL] le pouvoir de prendre les mesures correctrices en cas de non-respect des obligations résultant du règlement (UE) 2016/279 ou de ses propres dispositions, ainsi que la possibilité de saisir la formation restreinte en vue du prononcé des sanctions susceptibles d’être prononcées " (CE, 19 juin 2020, req. 434684, pt. 3).
En l’espèce, la formation restreinte relève que la présente procédure ne vise que les opérations de lecture et/ou d’écriture mises en œuvre dans le terminal de l’utilisateur situé en France se rendant sur le réseau social [V], les constatations matérielles effectuées par la délégation lors du contrôle en ligne du 8 avril 2021 n’ayant porté que sur ces opérations, sans s’intéresser aux traitements subséquents mis en œuvre à partir des données collectées via ces cookies.
En deuxième lieu, la formation restreinte rappelle qu’au titre des règles prévoyant l’articulation entre la directive " ePrivacy " et le RGPD, l’article 1er paragraphe 2 de cette directive prévoit que " les dispositions de la présente directive précisent et complètent la directive 95/46/CE " du Parlement européen et du Conseil du 24 octobre 1995 sur la protection des données personnelles [ci-après " la directive 95/46/CE "]), étant rappelé que, depuis l’entrée en application du Règlement, les références faites à la directive 95/46/CE doivent s’entendre comme faites au RGPD, conformément à l’article 94 de ce dernier.
De même, il ressort du considérant 173 du RGPD que ce texte prévoit explicitement n’être pas applicable aux traitements de données à caractère personnel " soumis à des obligations spécifiques ayant le même objectif [de protection des libertés et droits fondamentaux] énoncées dans la directive 2002/58/CE du Parlement européen et du Conseil, y compris les obligations incombant au responsable du traitement et les droits des personnes physiques ".
La formation restreinte souligne que cette articulation a été confirmée par la Cour de justice de l’Union européenne (ci-après " la CJUE ") dans sa décision Planet49 du 1er octobre 2019 (CJUE, grande chambre, 1er octobre 2019, Planet49, C-673/17, pt. 42).
Elle rappelle également que la directive " ePrivacy " prévoit, pour les obligations spécifiques qu’elle comporte, son propre mécanisme de mise en œuvre et de contrôle de son application en laissant aux Etats membres, par l’intermédiaire de son article 15 bis, le soin de préciser, dans le cadre de leur loi nationale, le régime des sanctions qu’ils souhaitent mettre en œuvre pour garantir son effectivité.
Elle relève en l’occurrence que la règle posée à l’article 5, paragraphe 3, de la directive " ePrivacy ", selon laquelle les opérations de lecture et/ou d’écriture doivent systématiquement faire l’objet d’un accord préalable de l’utilisateur, après information, constitue une obligation spécifique puisqu’elle interdit à un acteur de se prévaloir des bases légales mentionnées à l’article 6 du RGPD pour pouvoir licitement procéder à ces opérations de lecture et/ou d’écriture dans le terminal. Il en résulte que la violation de cette règle relève du mécanisme spécial de contrôle et de sanction prévu par la directive " ePrivacy " et non de celui prévu par le RGPD.
La formation restreinte note d’ailleurs que le CEPD a, dans son avis n° 5/2019 du 12 mars 2019 relatif aux interactions entre la directive " vie privée et communications électroniques " et le RGPD, explicitement exclu l’application du mécanisme de " guichet unique " à des faits relevant matériellement de la directive " ePrivacy " en ces termes : " conformément au chapitre VII du RGPD, les mécanismes de coopération et de cohérence dont disposent les autorités de protection des données au titre du RGPD concernent le contrôle de l’application des dispositions du RGPD. Les mécanismes du RGPD ne s’appliquent pas au contrôle de l’application des dispositions de la directive " vie privée et communications électroniques " en tant que telle " (CEPD, avis 5/2019, 12 mars 2019, pt. 80).
Elle relève de surcroît que la CJUE, dans un arrêt [...] rendu le 15 juin 2021, a repris l’avis 5/2019 du CEPD précité, tout en suivant sur ce point les conclusions de son avocat général, M. BOBEK, lequel estimait qu’" afin de décider si une affaire relève effectivement du champ d’application matériel du RGPD, une juridiction nationale, y compris toute juridiction de renvoi, est tenue de rechercher la source précise de l’obligation légale pesant sur un opérateur économique dont il est allégué qu’il l’a enfreinte. Si la source de cette obligation n’est pas le RGPD, les procédures établies par cet instrument, qui sont liées à son objectif principal, ne sont logiquement pas non plus applicables " (CJUE, conclusions de l’avocat général M. BOBEK, 13 janvier 2021, [...], C‑645/19, pts. 37 et 38).
En l’occurrence, la formation restreinte relève que, dans la présente procédure, la source précise de l’obligation légale objet du contrôle trouve sa seule origine dans l'obligation spécifique posée à l’article 5, paragraphe 3, de la directive " ePrivacy ", transposé en droit français à l’article 82 de la loi " Informatique et Libertés ".
En troisième lieu, s’agissant de la portée à donner à cette obligation spécifique, la formation restreinte rappelle que les opérations de lecture et/ou d’écriture dans le terminal de l’utilisateur doivent systématiquement faire l’objet du " consentement préalable " de l’utilisateur. Elle souligne qu’en vertu de l’article 2, paragraphe f) de la directive " ePrivacy ", le consentement doit s’entendre au sens de " consentement de la personne concernée " figurant dans la directive 95/46/CE. Or, dans la mesure où, comme déjà évoqué, depuis l’entrée en application du Règlement les références faites à la directive 95/46/CE doivent s’entendre comme faites au RGPD, il en résulte que le " consentement " prévu à l’article 5, paragraphe 3, de la directive " ePrivacy " tel que transposé à l’article 82 de la loi " Informatique et Libertés " doit désormais s’entendre au sens du RGPD.
A cet égard, la formation restreinte relève que le consentement au sens du RGPD pose plus d’exigences en la matière que ce que prévoyait l’article 2, h) de la directive 95/46/CE. Notamment, au titre de ces nouvelles exigences, l’article 4, paragraphe 11 du RGPD requiert que le consentement soit désormais univoque, ce qui implique qu’il soit donné par un " acte positif clair " et le considérant 42 du RGPD renforce son caractère libre, en précisant que la personne doit désormais disposer d’une " véritable liberté de choix " au moment de consentir.
En ce qui concerne les opérations de lecture et/ou d’écriture d’informations, ce renforcement du caractère libre du consentement implique que les modalités qui sont proposées à l’utilisateur pour manifester son choix soient telles qu’elles ne l’incitent pas plus à accepter les cookies qu’à les refuser.
La formation restreinte remarque que c’est dans ce sens qu’il convient de comprendre la communication de la CNIL du 2 avril 2021 publiée sur son site web et dénoncée par la société. En effet, en écrivant que " la seule présence d’un bouton " Paramétrer " en complément du bouton " Tout accepter " tend, en pratique, à dissuader le refus et ne permet donc pas de se mettre en conformité avec les exigences posées par le RGPD ", la CNIL a seulement voulu souligner le renforcement des exigences relatives au recueil du consentement de l’utilisateur avant toute opération de lecture et/ou d’écriture d’informations dans son terminal engendré par l’entrée en application du RGPD.
La formation restreinte souligne néanmoins que si le RGPD étaye bien les conditions du consentement, le respect des dispositions spéciales issues de la directive " ePrivacy " qui imposent ce consentement, désormais renforcé, de l’utilisateur avant toute opération de lecture et/ou d’écriture dans son terminal continue de relever, en vertu de l’adage specialia generalibus derogant, de la règle spéciale posée par l’article 5, paragraphe 3, de la directive " ePrivacy " et, partant, du mécanisme spécial de contrôle et de sanction prévu à l’article 15 bis de cette même directive.
Ainsi, le simple renvoi au RGPD qu’opèrent les dispositions de la directive " ePrivacy " sur la définition du consentement ne suffit pas à attraire avec lui l’applicabilité du mécanisme de " guichet unique " aux faits de l’espèce.
En quatrième lieu, la formation restreinte observe qu’il serait en tout état de cause matériellement impossible en l’état actuel du droit d’appliquer le mécanisme de " guichet unique " à des faits relevant de la directive " ePrivacy " et que cette position fait par ailleurs l’objet d’un consensus au niveau européen.
En effet, les États membres, qui sont libres de déterminer l’autorité nationale compétente pour connaître des violations des dispositions nationales prises en application de la directive " ePrivacy ", peuvent avoir attribué cette compétence à une autorité autre que leur autorité nationale de protection des données instituée par le RGPD, en l’occurrence à leur autorité de régulation des télécommunications. Dès lors, dans la mesure où ces dernières autorités ne font pas partie du CEPD, alors que ce comité joue une fonction incontournable dans le mécanisme de contrôle de la cohérence mis en œuvre au chapitre VII du RGPD, il est de fait impossible d’appliquer le " guichet unique " à des pratiques susceptibles d’être sanctionnées par des autorités de contrôle nationales ne siégeant pas au sein de ce comité.
La formation restreinte souligne également que d’autres autorités nationales de protection des données ont également déjà prononcé des sanctions portant sur des manquements relatifs aux opérations de lecture et/ou d’écriture d’informations dans le terminal des utilisateurs. L’autorité espagnole a ainsi rendu plusieurs décisions de sanction à l’encontre de différents responsables de traitement en application exclusive des dispositions nationales transposant la directive " ePrivacy ", en l’occurrence l’article 22, paragraphe 2 de la Ley 34/2002 de 11 de julio de Servicios de la Sociedad de la Información y de Comercio Electrónico, sans que soit mise en œuvre la procédure de coopération instituée par le RGPD.
Enfin, la formation restreinte note que la question d’une éventuelle future application du mécanisme de " guichet unique " aux traitements aujourd’hui encadrés par l’actuelle directive " ePrivacy " fait l’objet de nombreuses discussions dans le cadre de l’élaboration du projet de règlement " ePrivacy " en cours de négociation depuis plus de quatre ans au niveau européen. L’existence même de ces débats confirme qu’en l’état le mécanisme de " guichet unique " prévu par le RGPD n’est pas applicable aux matières régies par l’actuelle directive " ePrivacy ".
Il résulte de ce qui précède que le mécanisme de " guichet unique " prévu par le RGPD n’est pas applicable à la présente procédure et que la CNIL est compétente pour contrôler et engager une procédure de sanction contre le traitement mis en œuvre par la société consistant en des opérations de lecture et/ou d’écriture d’informations effectuées à partir du site web " [V].com " dans le terminal des utilisateurs résidant en France relevant du champ d’application de la directive " ePrivacy ", sous réserve que ce traitement se rattache à sa compétence territoriale.
Sur la compétence territoriale de la CNIL
La règle d’application territoriale des exigences fixées à l’article 82 de la loi " Informatique et Libertés " est précisée à l’article 3, paragraphe I, de cette loi, lequel dispose : " sans préjudice, en ce qui concerne les traitements entrant dans le champ du règlement (UE) 2016/679 du 27 avril 2016, des critères prévus par l'article 3 de ce règlement, l'ensemble des dispositions de la présente loi s'appliquent aux traitements des données à caractère personnel effectués dans le cadre des activités d'un établissement d'un responsable du traitement (…) sur le territoire français, que le traitement ait lieu ou non en France ".
La rapporteure considère que la CNIL est territorialement compétente en application de ces dispositions dès lors que le traitement objet de la présente procédure, consistant en des opérations d’accès et/ou d’inscription d’informations dans le terminal des utilisateurs résidant en France lors de l’utilisation du réseau social [V], notamment à des fins publicitaires, est effectué dans le " cadre des activités " de la société [Z], qui constitue " l’établissement " sur le territoire français du groupe [W].
La société soutient que dans la mesure où il conviendrait de faire application des règles de compétence et des procédures de coopération définies par le RGPD, la CNIL ne disposerait pas de la compétence territoriale pour connaître de cette affaire étant donné que le " siège réel " du groupe [W] en Europe, soit le lieu de son administration centrale au sens de l’article 56 du RGPD, est situé en Irlande.
La formation restreinte relève que pour déterminer si la CNIL dispose d’une compétence pour contrôler le respect, par la société [X], des exigences prévues à l’article 82 de la loi " Informatique et Libertés " dans le cadre du traitement en cause, il convient d’examiner en l’occurrence si les deux critères d’application territoriale de la loi " informatiques et libertés ", prévus au paragraphe I de son article 3, sont réunis : à savoir, d’une part, si [V] dispose d’un " établissement sur le territoire français " et si, d’autre part, le traitement en cause est effectué " dans le cadre des activités de cet établissement ".
La formation restreinte rappelle en ce sens que la directive " ePrivacy " ne fixe pas elle-même explicitement la règle d’application territoriale des différentes lois de transposition adoptées par chaque Etat membre. Cependant, cette directive indique qu’elle " précise et complète la directive 95/46.CE ", laquelle prévoyait à l’époque, à son article 4, que " chaque État membre applique les dispositions nationales qu'il arrête en vertu de la présente directive aux traitements de données à caractère personnel lorsque : a) le traitement est effectué dans le cadre des activités d'un établissement du responsable du traitement sur le territoire de l'État membre ; si un même responsable du traitement est établi sur le territoire de plusieurs États membres, il doit prendre les mesures nécessaires pour assurer le respect, par chacun de ses établissements, des obligations prévues par le droit national applicable ".