AgentPublic/cnil huggingface dataset:
37. Le rapporteur considère que la CNIL est matériellement compétente pour contrôler et engager une procédure de sanction concernant les opérations d’écriture et / ou de lecture d’informations mis en œuvre par la société [...], à savoir sur l’équipement terminal des utilisateurs et qui relèvent du champ d’application de la directive " ePrivacy ".
38. Il relève qu’il ressort des éléments communiqués par la société que ce traitement s’inscrit dans le cadre du service mis en œuvre par la société [...], appelé [...] à des fins de personnalisation des annonces sur [...]. Celui-ci permet aux développeurs de promouvoir leur application auprès des utilisateurs sur [...] à partir des seuls critères suivants : le " type d’appareil " ([...]), le " type de clientèle " (nouveaux, anciens utilisateurs ou tous les utilisateurs existants), le " profil démographique " (sexe et tranche d’âge), la " localisation " (ville, région ou pays) et la " planification de campagne " (date de début et de fin d’une campagne publicitaire).
39. Si le paramètre relatif à la réception de la publicité ciblée dans l'[...] est activé dans les réglages de […], l’utilisateur verra s’afficher en priorité en haut des résultats de sa recherche les applications promues via le service " [...] ". À l’inverse, si ce paramètre n’est pas activé, les utilisateurs recevront tout de même une annonce, qui ne sera alors pas personnalisée mais contextuelle, dépendant de la recherche effectuée.
40. Pour ce faire, le rapporteur relève que la société a mis en place une " architecture technique " qui fonctionne en plusieurs temps.
41. La première étape est relative à la collecte de données : lors de la création du compte utilisateur [...] (couramment appelé " [...] "), un identifiant technique nommé " […] " (ci-après " [...] ") est attribué à chaque compte utilisateur. Le [...] est créé sur les serveurs de la société. Il est notamment utilisé pour accéder à [...] et aux contenus, informations et services associés au compte utilisateur [...].
42. Lors de sa navigation sur [...], la trace de l’activité de l’utilisateur (c’est-à-dire le fait que l’utilisateur effectue une recherche, télécharge ou achète des applications dans [...]), ainsi que les informations qu’il a renseignées dans son compte [...] (c’est-à-dire l’année de naissance, le genre et la localisation de l’utilisateur), sont collectées et associées à cet identifiant [...] sur les serveurs " [...]" (ci-après " […] ").
43. Si le paramètre relatif à la réception de la publicité ciblée dans [...] est activé, ces données sont utilisées pour déterminer les segments auxquels un utilisateur sera affecté et, par conséquent, les publicités qu'il recevra. Un " segment " est un groupe d’au moins […] utilisateurs partageant des caractéristiques similaires et dont le paramètre relatif à la réception de la publicité ciblée dans [...] est activé dans les réglages de […].
44. La deuxième étape est relative à la création d’identifiants spécifiques à la personnalisation des annonces visant à promouvoir les applications mobiles sur [...] : afin d’éviter que la distribution et la mesure des contenus publicitaires impliquent l’utilisation de l’identifiant [...], l’appareil de l’utilisateur va générer localement sur le terminal de l’utilisateur deux autres identifiants :
• d’une part, le " […] " (ci-après le " [...] ") qui est synchronisé via [...] afin de s’assurer que tous les appareils d’un même utilisateur ont le même [...] ;
• d’autre part [...] qui est spécifique à chaque appareil et ne nécessite pas de synchronisation via [...].
45. Enfin, la troisième étape est relative à l’affichage d’annonces personnalisées sur le terminal de l’utilisateur : lorsque l’utilisateur effectue une recherche d’application dans [...], son appareil adresse une requête publicitaire aux serveurs " [...] " contenant le mot recherché, le [...], [...] et les identifiants relatifs aux segments le concernant, afin qu’ils déterminent la publicité ciblée à diffuser en priorité (l’ensemble de ces éléments étant disponibles en local sur le terminal, le procédé permet d’éviter que les serveurs " [...] " puissent identifier le compte [...] associé à chaque requête). [...] peut également servir à comptabiliser le nombre d’" impressions publicitaires " réalisées sur un appareil, c’est-à-dire le nombre d’affichages d’une publicité donnée.
46. Au regard de ces éléments, le rapporteur soutient, d’une part, que la société procède à des opérations de lecture et / ou d’écriture sur les terminaux des utilisateurs afin d’authentifier le [...] d’un compte utilisateur enregistré comme actif sur les serveurs [...] dans le but de personnaliser des annonces destinées à promouvoir les applications mobiles sur [...] et, d’autre part, que la société procède à une opération de lecture du [...] et de [...] (ainsi que la liste des segments associés à la personne préalablement écrites dans le terminal par les serveurs [...]) dans les terminaux des utilisateurs lors des requêtes envoyées aux serveurs " [...] ".
47. En défense, la société soutient que le traitement à des fins de personnalisation des annonces sur [...] qu’elle met en œuvre est effectué soit sur ses serveurs et ne fait pas partie du périmètre des investigations de la CNIL, soit sur le terminal des utilisateurs uniquement à des fins de " d’authentification de manière sécurisée de l’utilisateur " ou de " protection de la vie privée " et constituent donc des opérations relevant des exemptions au recueil du consentement prévues par l’article 82 de la loi Informatique et Libertés.
48. Pour examiner la question de l’existence matérielle d’opérations de lecture ou d’écriture, la formation restreinte estime qu’il faut distinguer entre le [...] et le [...], [...].
a. Sur les opérations de lecture et / ou d’écriture liées au [...]
49. En défense, la société reconnaît d’abord que " des informations sont stockées sur un seul appareil [...] pour authentifier de manière sécurisée son utilisateur en relation avec le [...] d’un compte [...] sur les serveurs [...] " mais précise que ces " informations ne sont pas […] utilisées à des fins publicitaires ". La société indique ensuite que " les recherches effectuées dans l’[...] par les utilisateurs sont nécessairement suivies d’opérations permettant à [...] de renvoyer les résultats de la recherche sur l’appareil utilisé. Toutefois, les opérations dans ce contexte ne sont pas effectuées pour créer des segments à des fins publicitaires, mais simplement pour fournir le service demandé, c’est-à-dire l’[...] ". La société précise enfin que " toutes les informations utilisées par [...] pour créer les segments décrits dans ses observations n°1 à des fins de personnalisation des publicités sont stockées et conservées sur les serveurs d’[...] ".
50. La formation restreinte relève d’abord qu’il ressort de ces éléments que la société ne conteste pas procéder à des opérations d’écriture d’informations sur les terminaux des utilisateurs afin d’authentifier le [...] d’un compte utilisateur enregistré comme actif sur les serveurs [...].
51. Ensuite, la formation restreinte relève que si la société soutient qu’aucune information n’est stockée et /ou lue sur le terminal des utilisateurs afin d’affecter des segments à ces derniers, il n’en demeure pas moins qu’elle est en mesure d’identifier l’ensemble des requêtes relatives à des recherches dans [...] vers les serveurs [...] comme provenant d’un unique terminal associé à un compte précis.
52. La formation restreinte note également en ce sens qu’interrogée sur ledit mécanisme, lors de l’audition du 16 mars 2022, la société a indiqué que " Lorsque l'utilisateur effectue une recherche dans l'[...] et télécharge des applications ou effectue des transactions au travers de cette plate-forme, son activité est enregistrée par le serveur de [...] plate-forme et est associée à son "[…]" ([...]), qui est l'identifiant technique relatif au compte utilisateur [...] de l'usager (un [...] correspond à un [...]) ". De plus, lors de cette audition, le [...] a été présenté comme " essentiel pour authentifier en toute sécurité un terminal et un compte [...] ". La formation restreinte relève également que le rapporteur a décrit le traitement en cause, en indiquant notamment que " le [...] est l’identifiant technique relatif au compte utilisateur de chaque usager et permet le maintien de la connexion lors de la navigation de l’utilisateur sur différents services [...] " et que ce point n’a pas été contesté par la société. Il ressort de ces éléments que des " informations ", qui sont ensuite rattachées au [...], sont lues sur le terminal de l’utilisateur afin d’associer ses téléchargements et le résultat de ses recherches à son compte [...].
53. En conséquence, la formation restreinte considère que la société procède à des opérations de lecture et / ou d’écriture d’informations sur les terminaux des utilisateurs pour authentifier le [...] d’un compte utilisateur enregistré comme actif sur les serveurs [...].
b. Sur les opérations de lecture du [...] et de l’i[...]d dans le terminal de l’utilisateur
54. En défense, la société reconnaît que " des mesures techniques, telles que des opérations de " stockage " et " d’accès " au terminal […] ont pour objet de procéder à un remplacement du [...] par le [...], ce afin d’éviter d’établir un lien entre l’identité de l’utilisateur (le [...]) et les segments pertinents applicables à cet utilisateur ", conformément à l’obligation de protection des données dès la conception prévue par l’article 25 du RGPD. S’agissant de l’identifiant [...], elle précise néanmoins que cette opération de remplacement a lieu uniquement pour protéger " la vie privée de ses utilisateurs ". S’agissant de l’identifiant [...], elle indique que celui-ci " ne permet aucun suivi et qu’il est utilisé uniquement comme identifiant de renforcement de la confidentialité, dans le contexte de mesures statistiques ".
55. La formation restreinte rappelle à nouveau que la seule action tendant à accéder à des informations déjà stockées dans un équipement terminal de l’utilisateur situé en France entraîne l’application de l’article 82 de la loi Informatique et Libertés.
56. La formation restreinte considère dès lors que si le remplacement d’informations rattachées au [...] par des identifiants tiers ([...] et [...], lesquels sont générés directement par le téléphone de l’utilisateur) a pour intérêt d’éviter la diffusion du [...] vers les serveurs " [...] " dédiés à la publicité d’[...] (et donc de rompre le lien entre l’identifiant et l’identité de la personne concernée), il n’en demeure pas moins que ces deux nouveaux identifiants, (ainsi que la liste des segments associés à la personne préalablement écrite dans le terminal par les serveurs [...]) sont par la suite lus dans le terminal de l’utilisateur lors de la construction des requêtes envoyées aux serveurs " [...] ". Ils sont en effet utilisés lors des étapes relatives à la sélection et à la distribution des annonces destinées à promouvoir les applications ciblées sur [...] ainsi que pour le décompte du nombre d’affichage d’une annonce sur un appareil (mesure des " impressions publicitaires "), ce qui implique donc bien un accès à des informations déjà stockées dans l’équipement terminal de l’utilisateur.
57. En conséquence, la formation restreinte considère que la société procède à une opération de lecture du [...] et de [...] (ainsi que la liste des segments associés à la personne préalablement écrites dans le terminal par les serveurs [...]) dans le terminal de l’utilisateur lors des requêtes envoyées aux serveurs " [...] ".
c. Sur les traitements subséquents et l’applicabilité du mécanisme de " guichet unique " prévu par le RGPD
58. En défense, la société fait valoir le caractère indissociable des opérations d’écriture et / ou de lecture d’identifiants qui ont lieu sur l’équipement terminal de l’utilisateur lors de leur utilisation de [...] et de l’utilisation subséquente des données collectées par ces identifiants pour les finalités poursuivies par le responsable de traitement. Ainsi, la société considère que " le rapporteur ne répond pas à l’analyse […] selon laquelle la CNIL ne serait pas compétente en application du RGPD ". Elle affirme que les opérations visant à affecter des segments à un utilisateur donné ont lieu sur les serveurs [...] du groupe [...] et non sur le terminal de l’utilisateur, " à condition qu’un appareil [...] se soit authentifié auprès du serveur ". Elle en déduit que " ce traitement ne peut donc être qu’un " traitement ultérieur " effectué après toute opération de " lecture " ou de " stockage " effectué pour l’authentification ". Dès lors, la société estime que, dans la mesure où la CNIL a engagé une procédure de sanction à son encontre s’agissant uniquement des opérations d’écriture et / ou de lecture d’identifiants qui ont lieu sur l’équipement terminal de l’utilisateur lors de leur utilisation de [...], elle n’est pas fondée à mobiliser, dans sa démonstration, des éléments liés aux traitements subséquents à ces opérations, en l’occurrence les activités réalisées ultérieurement sur les serveurs [...] qui ne " consistent pas à stocker, ou à accéder, à des informations sur
l’appareil de l’utilisateur ". Elle estime que ces traitements ne relèvent pas de l’article 82 de la loi Informatique et Libertés mais du RGPD et que, dans la mesure où son établissement principal est situé en Irlande, la compétence pour engager une telle procédure reviendrait à l’autorité de protection des données irlandaise, autorité cheffe de file en vertu de l’article 56 du RGPD, compétente pour mettre en œuvre le mécanisme de coopération entre autorités de contrôle, dit mécanisme de " guichet unique ", prévu au chapitre VII de ce règlement.
59. La formation restreinte rappelle tout d’abord, qu’il convient de distinguer, d’une part, les opérations de lecture et d’écriture sur un terminal, qui sont régies par les dispositions de l’article 82 de la loi Informatique et Libertés et pour lesquelles le législateur français a confié à la CNIL une mission de contrôle et notamment le pouvoir de sanctionner toute méconnaissance de cet article et, d’autre part, l’utilisation qui est faite ultérieurement des données produites ou collectées via ces opérations, qui est régie par le RGPD et peut donc, le cas échéant, être soumise au dispositif de " guichet unique ".
60. Elle rappelle ensuite que le Conseil d’État a, dans sa décision Société GOOGLE LLC et société GOOGLE IRELAND LIMITED du 28 janvier 2022, confirmé que le contrôle des opérations d’accès ou d’inscription d’informations dans les terminaux des utilisateurs en France d’un service de communications électroniques, même procédant d’un traitement transfrontalier, relève de la compétence de la CNIL et que le système du guichet unique prévu par le RGPD n’est pas applicable : " il n’a pas été prévu l’application du mécanisme dit du " guichet unique " applicable aux traitements transfrontaliers, défini à l’article 56 de ce règlement, pour les mesures de mise en œuvre et de contrôle de la directive 2002/58/CE du 12 juillet 2002, qui relèvent de la compétence des autorités nationales de contrôle en vertu de l’article 15 bis de cette directive. Il s’ensuit que, pour ce qui concerne le contrôle des opérations d’accès et d’inscription d’informations dans les terminaux des utilisateurs en France d’un service de communications électroniques, même procédant d’un traitement transfrontalier, les mesures de contrôle de l’application des dispositions ayant transposé les objectifs de la directive 2002/58/CE relèvent de la compétence conférée à la CNIL par la loi du 6 janvier 1978 […] " (CE, 10ème et 9ème chambres réunies, 28 janvier 2022, société GOOGLE LLC et société GOOGLE IRELAND LIMITED, n° 449209, pt. 12). Le Conseil d’État a réaffirmé cette position dans un arrêt du 27 juin 2022 (CE, 10ème
et 9ème chambres réunies, 27 juin 2022, société AMAZON EUROPE CORE, n° 451423).
61. La formation restreinte relève enfin que si les écrits du rapporteur contiennent des références aux conséquences de l’écriture et / ou de la lecture d’informations sur les terminaux des utilisateurs afin d’authentifier les informations rattachées au [...] d’un compte utilisateur ainsi que celles du [...] et de [...] pour les internautes, il ne contiennent aucune analyse sur la conformité au RGPD des traitements de données à caractère personnel subséquents effectués à partir des données collectées par le biais de ces traceurs. Seules les opérations de lecture et / ou d’écriture des identifiants [...], [...] et [...] et leurs finalités seront analysées pour déterminer si l’article 82 de la loi Informatique et Libertés est applicable.
62. Dès lors, la formation restreinte considère que la CNIL est compétente pour contrôler et engager une procédure de sanction concernant les traitements mis en œuvre par la société relevant du champ d’application de la directive " ePrivacy ", sous réserve que le traitement se rattache à sa compétence territoriale.
2. Sur la compétence territoriale de la CNIL
63. Aux termes du paragraphe I, de l’article 3 de la loi Informatique et Libertés, qui prévoit la règle d’application territoriale des exigences prévues à l’article 82 de la loi Informatique et Libertés :
" Sans préjudice, en ce qui concerne les traitements entrant dans le champ du règlement (UE) 2016/679 du 27 avril 2016, des critères prévus par l'article 3 de ce règlement, l'ensemble des dispositions de la présente loi s'appliquent aux traitements des données à caractère personnel effectués dans le cadre des activités d'un établissement d'un responsable du traitement ou d'un sous-traitant sur le territoire français, que le traitement ait lieu ou non en France. "
64. Le rapporteur considère que la CNIL est territorialement compétente en application de ces dispositions dès lors que le traitement objet de la présente procédure, consistant en des opérations de lecture et /ou d’écriture d’informations dans les terminaux mobiles des utilisateurs résidant en France lors de l’utilisation de l’[...], est effectué dans le " cadre des activités " des sociétés [...] et [...], qui constituent " l’établissement " sur le territoire français de la société [...], lesquelles participent à la promotion et à la commercialisation des produits de la société [...] et de leurs solutions publicitaires en France.
65. En défense, la société conteste la compétence territoriale de la CNIL dans la mesure où il n’existe pas de " lien indissociable " entre les activités de la société [...] et le traitement en cause. La société considère en ce sens que " la simple vente de matériel informatique ne crée pas […] un lien avec les opérations de traitement effectuées par le logiciel présent sur ce matériel ". Elle considère dès lors que le deuxième critère d’application territoriale de la loi Informatique et Libertés, prévu au paragraphe I de son article 3, n’est pas rempli, à savoir que le traitement en cause est effectué " dans le cadre des activités de cet établissement ". De même, s’agissant de la société [...], la société [...] estime également que la compétence territoriale de la CNIL n’est pas établie. Elle soutient qu’il ne peut y avoir " lien indissociable " entre les activités de la société [...] et le traitement en cause dans la mesure où " l’embauche des " [...]" en France " n’a pas eu pour effet de générer une différence significative de revenus et qu’ils n’exercent pas une " activité de promotion et de commercialisation d’outils publicitaires ".
66. La formation restreinte rappelle qu’en vertu de l’article 3 de la loi Informatique et Libertés, la CNIL est compétente pour exercer ses pouvoirs dès lors que les deux critères prévus par cet article sont remplis, en l’occurrence, l’existence d’un établissement du responsable de traitement sur le territoire français et l’existence d’un traitement effectué dans le cadre des activités de cet établissement.
67. S’agissant en premier lieu de l’existence d’un établissement du responsable de traitement sur le territoire français, la Cour de justice de l’Union européenne (CJUE) a, dans son arrêt Weltimmo, du 1er octobre 2015, précisé que " la notion d’" établissement ", au sens de la directive 95/46, s’étend à toute activité réelle et effective, même minime, exercée au moyen d’une installation stable ", le critère de stabilité de l’installation étant examiné au regard de la présence de " moyens humains et techniques nécessaires à la fourniture de services concrets en question ". La CJUE estime qu’une société, personne morale autonome, du même groupe que le responsable de traitement, peut constituer un établissement du responsable de traitement au sens de ces dispositions (CJUE, 13 mai 2014, Google Spain, C-131/12, pt 48).
68. En l’espèce, la formation restreinte relève que les sociétés [...] et [...] sont toutes deux filiales de la société [...] et disposent de locaux stables situés en France. Elle relève en outre que la société [...] emploie environ […] personnes. En conséquence, les sociétés [...] et [...] constituent bien chacune un établissement de la société [...] au sens de l’article 3 de la loi Informatique et Libertés précité.
69. S’agissant en second lieu de l’existence d’un traitement effectué dans le cadre des activités de cet établissement, la formation restreinte rappelle qu’il n’est pas nécessaire que le traitement en cause soit réalisé " par cet établissement " (CJUE, 13 mai 2014, Google Spain, C-131/12, pt. 57), c’est-à-dire par les sociétés [...] ou [...], en tant que responsables de traitement, et qu’il suffit que l’un et/ou l’autre de ces établissements facilitent ou favorisent suffisamment le déploiement dans le territoire français du traitement de données à caractère personnel mis en œuvre par le responsable de traitement établi dans un autre État membre (la société [...]) pour qu’il y ait obligation de respecter la loi territorialement applicable en France et pour fonder la compétence de l’autorité de contrôle nationale.
70. En ce sens, la formation restreinte relève que, dans sa décision AMAZON EUROPE CORE du 27 juin 2022, le Conseil d’État a rappelé qu’" il résulte de la jurisprudence de la Cour de justice de l’Union européenne, notamment de son arrêt du 5 juin 2018, Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein contre Wirtschaftsakademie Schleswig-Holstein GmbH (C-210/16), qu’au vu de l’objectif poursuivi par cette directive [la directive " e-Privacy "], consistant à assurer une protection efficace et complète des libertés et des droits fondamentaux des personnes physiques, notamment du droit à la protection de la vie privée et à la protection des données à caractère personnel, un traitement de données à caractère personnel peut être regardé comme effectué " dans le cadre des activités " d’un établissement national non seulement si cet établissement intervient lui-même dans la mise en œuvre de ce traitement, mais aussi dans le cas où ce dernier se borne à assurer, sur le territoire d’un État membre, la promotion et la vente d’espaces publicitaires permettant de rentabiliser les services offerts par le responsable d’un traitement consistant à collecter des données à caractère personnel par le biais de traceurs de connexion installés sur les terminaux des visiteurs d’un site " (CE, 10ème et 9ème chambres réunies, 27 juin 2022, société AMAZON EUROPE CORE, n° 451423, pt. 10). Le Conseil d’État a considéré dans cette même décision que tel était le cas lorsque les activités de
l’établissement du responsable de traitement consistent en la promotion et la commercialisation d’outils publicitaires contrôlés et exploités par le responsable de traitement fonctionnant notamment grâce aux données collectées par le biais des traceurs de connexion déposés sur les terminaux des utilisateurs du site exploité par le responsable de traitement (pt. 15 de la décision précitée).