AgentPublic/cnil huggingface dataset:
57. En outre, la société considère qu’il est primordial de prendre en compte le fonctionnement d’applications similaires afin d’évaluer le niveau d’attente des utilisateurs de […]. La société invoque les lignes directrices relatives à la protection des données dès la conception et par défaut du CEPD, qui prévoient que " le traitement devrait correspondre aux attentes raisonnables des personnes concernées ". Selon elle, la rapporteure ne peut conclure à un manquement à la protection des données dès la conception sans avoir préalablement déterminé si les utilisateurs ont été trompés ou si le traitement et le fonctionnement de l’application est inattendu, préjudiciable ou discriminatoire pour ses utilisateurs. Or, selon la société, l’utilisateur peut légitimement s’attendre à un tel fonctionnement de l’application […] puisque, d’une part, les applications sur les systèmes d’exploitation Windows et Linux fonctionnent de la même manière (selon elle, lorsqu’il clique sur l’icône " X ", l’utilisateur s’attend à ce que cette action permette uniquement de fermer une fenêtre et de mettre l’application en arrière-plan) et, d’autre part, le niveau d’attente de l’utilisateur, lorsqu’il clique sur l’icône " X ", est de mettre l’application en arrière-plan pour pouvoir continuer à discuter tout en réalisant d’autres actions sur son ordinateur. Par ailleurs, la société explique que les modalités de fermeture peuvent être modifiées grâce à un paramétrage mis à la disposition des
utilisateurs, qui peut décider d’une seule action à effectuer pour fermer l’application.
58. Enfin, la société précise avoir désormais mis en place une fenêtre de type " pop-up " qui indique aux utilisateurs des systèmes d’exploitation Windows et Linux que l’application […] est toujours en cours de fonctionnement lorsque la fenêtre a été fermée et que ces paramètres peuvent directement être modifiés par l’utilisateur.
59. En premier lieu, la formation restreinte relève que, si un utilisateur connecté à un salon vocal ferme la fenêtre de l’application en cliquant sur l’icône " X " située en haut à droite (sous Microsoft Windows), il ne fait en réalité que mettre l’application en arrière-plan et non la quitter ; il est donc toujours connecté dans le salon vocal. Pourtant, sous Microsoft Windows et, de façon plus générale, dans la symbolique couramment utilisée en informatique, le fait de cliquer sur " X " en haut à droite de la dernière fenêtre visible d’une application permet généralement de la quitter. La réduction de l’application, en arrière-plan, est généralement obtenue en cliquant sur une icône " - ". Or, le comportement de […] est différent. Dès lors, la formation restreinte considère que l’utilisateur devrait se voir délivrer une information spécifique, afin qu’il soit averti de cette différence. Or tel n’était pas le cas au moment où le contrôle en ligne a été réalisé.
60. La formation restreinte précise que, s’il existe des applications avec des fonctions de communication qui ne sont en réalité que réduites en arrière-plan après que l’utilisateur a cliqué sur la croix de fermeture, généralement, soit les applications qui ont un tel comportement informent avec une fenêtre surgissante l’utilisateur lors du premier clic sur la croix que l’application va passer en arrière-plan mais continuer de fonctionner ; soit, par défaut, le comportement de réduction en arrière-plan n’est pas activé et c’est à l’utilisateur de le paramétrer manuellement. Or, en l’espèce et avant la mise en place de la fenêtre type " pop-up " mentionnée ci-avant, la réduction en arrière-plan avait lieu par défaut dès la première utilisation après l’installation, sans aucun avertissement ou information claire.
61. En conséquence, la société ne saurait valablement soutenir que le fonctionnement de l’application correspondrait aux attentes de l’utilisateur, dans la mesure où d’autres applications informent la personne ou permettent à l’utilisateur d’effectuer lui-même ce paramétrage spécifique.
62. En deuxième lieu, la formation restreinte relève que ce paramétrage par défaut de l’application – qui prévoyait qu’elle n’est pas quittée lorsque la fenêtre principale est fermée – conduisait à ce que des données à caractère personnel de l’utilisateur puissent être communiquées à des tiers sans qu’il en ait nécessairement conscience. En effet, l’utilisateur n’avait pas forcément conscience que ses paroles continuaient à être transmises et entendues par les autres membres présents dans le salon vocal. La formation restreinte note qu’un tel paramétrage, en l’absence d’information suffisamment claire et visible, présentait des risques importants pour les utilisateurs, notamment d’intrusion dans leur vie privée. 
63. Dès lors, la formation restreinte considère que la société a méconnu ses obligations résultant de l’article 25, paragraphe 2, du RGPD, qui impose la protection des données par défaut. 
64. Elle prend néanmoins acte de ce que la société […] a désormais mis en place une fenêtre " pop-up " permettant, lorsque la fenêtre a été fermée pour la première fois, d’alerter les personnes connectées à un salon vocal de ce que l’application […] est toujours en cours de fonctionnement et que ces paramètres peuvent directement être modifiés par l’utilisateur.
H. Sur le manquement à l’obligation d’assurer la sécurité des données
65. Aux termes de l’article 32 du RGPD, " compte tenu de l'état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, y compris entre autres, selon les besoins : […]
b) des moyens permettant de garantir la confidentialité, l'intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement ;
c) […]
d) une procédure visant à tester, à analyser et à évaluer régulièrement l'efficacité des mesures techniques et organisationnelles pour assurer la sécurité du traitement ".
66. La rapporteure a relevé que, lors de la création d’un compte sur […], un mot de passe composé de six caractères incluant des lettres et des chiffres était accepté. La rapporteure a considéré que de tels mots de passe, sans critère de complexité suffisant et n’étant associés à aucune mesure de sécurité complémentaire, ne permettent pas d’assurer la sécurité des données à caractère personnel traitées par la société et d’empêcher que des tiers non autorisés aient accès à ces données.
67. En défense, la société conteste l’analyse de la rapporteure et considère avoir mis en place des mesures permettant de garantir un niveau élevé de sécurité pour l’accès de ses utilisateurs à son système, y compris des mesures afin d’empêcher les attaques par force brute : limitation des tentatives de connexion à une par seconde ; vérification par courriel ou SMS pour valider l’identifiant lorsque la société reçoit une demande de connexion provenant d’une adresse IP située en dehors de la zone de l’adresse IP de connexion précédente ; rejet des mots de passe couramment utilisés et compromis et implémentation d’un " captcha " pour les connexions à partir de nouvelles plages d’adresses IP.
68. La société a par ailleurs apporté des modifications à ses processus de sécurité des mots de passe dans le cadre de la procédure de sanction : 
- elle exige désormais des utilisateurs français qu’ils définissent des mots de passe d’une longueur minimale de huit caractères, dont au moins trois de ces caractères sont des lettres minuscules, des lettres majuscules, des chiffres ou des caractères spéciaux ; 
- après dix tentatives de connexion infructueuses, la société exige la résolution d’un " captcha ".
69. La formation restreinte considère que la longueur et la complexité d’un mot de passe demeurent des critères élémentaires permettant d’apprécier la force de celui-ci. Elle relève à cet égard que la nécessité d’un mot de passe fort est également soulignée par l’Agence nationale de sécurité des systèmes d’information.
70. À titre d’éclairage, la formation restreinte rappelle que pour assurer un niveau de sécurité suffisant et satisfaire aux exigences de robustesse des mots de passe, si l’authentification prévoit une restriction de l’accès au compte, la CNIL recommande, dans sa délibération n° 2017-012 du 19 janvier 2017, que le mot de passe comporte au minimum huit caractères, contenant au moins trois des quatre catégories de caractères (majuscules, minuscules, chiffres et caractères spéciaux) et que l’authentification fasse intervenir une restriction de l’accès au compte comme par exemple la temporisation d’accès au compte après plusieurs échecs (suspension temporaire de l’accès dont la durée augmente à mesure des tentatives), la mise en place d’un mécanisme permettant de se prémunir contre les soumissions automatisées et intensives de tentatives (comme un " captcha ") et/ou le blocage du compte après plusieurs tentatives d’authentification infructueuses.
71. En l’espèce, la formation restreinte relève qu’un un mot de passe composé de six caractères incluant des lettres et des chiffres était accepté au moment du contrôle en ligne. La formation restreinte estime qu’au regard des règles peu exigeantes encadrant leur composition, ainsi que du volume de données personnelles à protéger, la robustesse des mots de passe admis par la société était trop faible, conduisant à un risque de compromission des comptes associés et des données à caractère personnel qu’ils contiennent, et ce malgré les mesures de sécurité complémentaires mises en place avant la procédure de sanction. 
72. Dans ces conditions, eu égard aux risques encourus par les personnes, la formation restreinte considère que les faits précités constituent un manquement à l’article 32 du RGPD, dès lors que la politique de gestion des mots de passe de la société n’était pas suffisamment robuste et contraignante pour garantir la sécurité des données, au sens de cet article.
73. Elle relève néanmoins que, dans le cadre de la procédure de sanction, la société a apporté des modifications sur ce point et s’est mise en conformité avec les dispositions de l’article 32 du RGPD.
I. Sur le manquement à l’obligation d’effectuer une analyse d’impact relative à la protection des données
74. L’article 35, paragraphe 1, du RGPD dispose que " lorsqu’un type de traitement, en particulier par le recours à de nouvelles technologies, et compte tenu de la nature, de la portée, du contexte et des finalités du traitement, est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes physiques, le responsable du traitement effectue, avant le traitement, une analyse de l’impact des opérations de traitement envisagées sur la protection des données à caractère personnel ". 
75. Le considérant 91 du RGPD prévoit notamment qu’une analyse d’impact " devrait s’appliquer, en particulier, aux opérations de traitement à grande échelle qui visent à traiter un volume considérable de données à caractère personnel au niveau régional, national ou supranational, qui peuvent affecter un nombre important de personnes concernées […] ".
76. La rapporteure considère que la société aurait dû réaliser une analyse d’impact relative à la protection des données (ci-après " AIPD "), au regard de deux critères permettant de considérer que le traitement était susceptible d’engendrer un risque élevé : la collecte de données à grande échelle et la collecte de données concernant des personnes vulnérables. La rapporteure estime que les traitements mis en œuvre par la société sont susceptibles d’engendrer un risque élevé pour les droits et libertés des personnes physiques et en conclut que la société […] a méconnu les obligations de l’article 35 du RGPD en ne réalisant pas une analyse d’impact relative à la protection des données.
77. En défense, la société […] indique avoir considéré qu’une AIPD n’était pas nécessaire dans la mesure où elle ne traite que des données très limitées, à savoir celles nécessaires pour permettre aux utilisateurs de créer leur compte, pour fournir ses services, pour respecter ses engagements envers ses utilisateurs et pour satisfaire à ses obligations légales ; elle n’effectue aucun des traitements listés à l’article 35, paragraphe 3, du RGPD comme requérant une analyse d’impact ; elle n’effectue aucune des opérations de traitement pour lesquelles la CNIL a considéré qu’une AIPD est requise, conformément à la liste des traitements pour lesquels une telle analyse est nécessaire publiée le 6 novembre 2018 ; elle ne traite pas de données sur des " enfants ", puisqu’elle s’adresse uniquement aux utilisateurs de plus de quinze ans qui disposent d’un degré de maturité suffisant pour utiliser ses services. 
78. La société souligne par ailleurs que les lignes directrices du G29 concernant l’AIPD et la manière de déterminer si le traitement est " susceptible d’engendrer un risque élevé " aux fins du règlement (UE) 2016/679 rappellent qu’une AIPD n’est pas automatique même lorsque le traitement répond à deux des neufs critères définis parmi ceux à prendre en compte.
79. Enfin, la société explique que, quand bien même elle n’y était pas tenue en vertu du RGPD, elle a depuis réalisé deux AIPD pour son traitement lié au service […] et à ses services essentiels, lesquels ont conclu que le traitement n’est pas susceptible d’engendrer un risque élevé pour les droits et libertés des personnes. 
80. En premier lieu, la formation restreinte considère qu’en traitant les données de plus de […] utilisateurs en France, la société […] met en œuvre un traitement de données à caractère personnel à grande échelle. De surcroît, la formation restreinte relève que l’application a également vocation à être utilisée par des enfants âgés de quinze ans, ce dont la société […] a pleinement conscience, puisqu’elle indique elle-même qu’elle " s’engage à protéger la vie privée des enfants et a par conséquent mis en place des mesures pour s’assurer qu’aucun enfant n’ayant pas l’âge minimum défini pour chaque pays puisse accéder aux services de […] et créer un compte ".
81. La formation restreinte rappelle que, selon le considérant 38 du RGPD, " les enfants méritent une protection spécifique en ce qui concerne leurs données à caractère personnel parce qu’ils peuvent être moins conscients des risques, des conséquences et des garanties concernées et de leurs droits liés au traitement des données à caractère personnel " et qu’en application de l’article 1er de la Convention internationale relative aux droits de l’enfant, " un enfant s’entend de tout être humain âgé de moins de dix-huit ans ". Si, en application de l’article 8 du RGPD et de l’article 45 de la loi Informatique et Libertés, un mineur peut consentir seul à un traitement de données à caractère personnel en ce qui concerne l’offre directe de services de la société de l’information à compter de l’âge de quinze ans, il n’en demeure pas moins que le mineur entre quinze et dix-huit ans reste un enfant, et donc une personne vulnérable.
82. La formation restreinte rappelle, à titre d’éclairage, que les lignes directrices du G29 concernant l’AIPD précitées, modifiées et adoptées en dernier lieu le 4 octobre 2017, ont fixé une liste de neuf critères à prendre en compte pour donner une vision plus concrète des opérations de traitement qui nécessitent une analyse d’impact du fait d’un risque inhérent élevé. Parmi ces critères figurent notamment la collecte de données à caractère personnel à grande échelle et la collecte de données concernant des personnes vulnérables. Les lignes directrices ajoutent que, " dans la plupart des cas, le responsable du traitement peut considérer qu’un traitement satisfaisant à deux critères nécessite une AIPD ".
83. S’agissant du premier critère relatif à la collecte de données à grande échelle, les lignes directrices expliquent qu’il convient de prendre en compte, en particulier, le nombre de personnes concernées, le volume de données et/ou l’éventail des différents éléments de données traitées, la durée ou la permanence de l’activité de traitement de données et l’étendue géographique de l’activité de traitement. S’agissant du deuxième critère relatif à la collecte de données concernant des personnes vulnérables, les lignes directrices indiquent que le traitement de données concernant des personnes vulnérables est un critère en raison du déséquilibre des pouvoirs accru qui existe entre les personnes concernées et le responsable du traitement, ce qui signifie que les premières peuvent se trouver dans l’incapacité de consentir ou de s’opposer aisément au traitement de leurs données ou d’exercer leurs droits. Parmi ces personnes vulnérables, les lignes directrices citent les enfants " qui peuvent être vus comme incapables de s’opposer ou de consentir sciemment et de manière réfléchie au traitement de leurs données ". 
84. En conséquence, la formation restreinte estime que la société aurait dû procéder à une analyse d’impact du traitement de données mis en œuvre, au regard du volume de données traitées par la société et de l’utilisation de ses services par des enfants.
85. En deuxième lieu, la formation restreinte relève que, si les traitements effectués par la société ne figurent pas dans la " liste des types d’opérations de traitement pour lesquelles une analyse relative à la protection des données est requise " publiée par la CNIL (délibération n° 2018-327 du 11 octobre 2018), ils ne figurent pas non plus dans la " liste des types d’opérations de traitement pour lesquelles une analyse d’impact relative à la protection des données n’est pas requise " (délibération n° 2019-118 du 12 septembre 2019).
86. En troisième lieu, la formation restreinte prend acte de ce que la société a, dans le cadre de la présente procédure, effectué deux AIPD, lesquelles ont été transmises à la CNIL et ont conclu que le traitement n’est pas susceptible d’engendrer un risque élevé pour les droits et libertés des personnes. Elle relève néanmoins que si les analyses d’impact effectuées ont conclu à l’absence de risque élevé, il n’en demeure pas moins que leur réalisation préalable était impérative pour s’en assurer. 
87. Compte tenu de l’ensemble de ces éléments, la formation restreinte considère que la société a méconnu les obligations de l’article 35 du RGPD.
III. Sur les mesures correctrices et leur publicité
88. Aux termes de l’article 20, III, de la loi du 6 janvier 1978 modifiée, " Lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l’informatique et des libertés peut également, le cas échéant après lui avoir adressé l’avertissement prévu au I du présent article ou, le cas échéant en complément d’une mise en demeure prévue au II, saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l’une ou de plusieurs des mesures suivantes : […]
7° A l’exception des cas où le traitement est mis en œuvre par l’État, une amende administrative ne pouvant excéder 10 millions d’euros ou, s’agissant d’une entreprise, 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l'article 83 du règlement (UE) 2016/679 du 27 avril 2016, ces plafonds sont portés, respectivement, à 20 millions d'euros et 4 % dudit chiffre d’affaires. La formation restreinte prend en compte, dans la détermination du montant de l’amende, les critères précisés au même article 83 ".
89. L’article 83 du RGPD prévoit quant à lui que " chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour des violations du présent règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives ", avant de préciser les éléments devant être pris en compte pour décider s’il y a lieu d’imposer une amende administrative et pour décider du montant de cette amende.
90. En premier lieu, sur le principe du prononcé d’une sanction, la société demande à la formation restreinte de ne pas prononcer de sanction à son encontre, dans la mesure où elle conteste l’ensemble des manquements qui lui sont reprochés. S’agissant du montant de l’amende, la société considère que sa bonne foi et sa volonté de coopérer n’ont pas été effectivement prises en compte dans la proposition de la rapporteure.
91. La formation restreinte rappelle qu’elle doit tenir compte, pour le prononcé d’une amende administrative, des critères précisés à l’article 83 du RGPD, tels que la nature, la gravité et la durée de la violation, les mesures prises par le responsable du traitement pour atténuer le dommage subi par les personnes concernées, le degré de coopération avec l’autorité de contrôle et les catégories de données à caractère personnel concernées par la violation.
92. La formation restreinte souligne que les manquements commis par la société portent sur des obligations touchant aux principes fondamentaux de la protection des données à caractère personnel et que cinq manquements sont constitués. 
93. La formation restreinte relève ensuite que les traitements mis en œuvre par la société […] concernent un nombre très important de personnes situées en France, puisque plus de […] de comptes d’utilisateurs de […] étaient enregistrés en France en janvier 2021, dont des mineurs. 
94. En conséquence, la formation restreinte considère qu’il y a lieu de prononcer une amende administrative au regard des manquements constitués aux articles 5, paragraphe 1, e), 13, 25, paragraphe 2, 32 et 35 du RGPD.
95. La formation restreinte rappelle que les manquements relatifs aux articles 5, paragraphe 1, e) et 13 du RGPD sont des manquements à des principes susceptibles de faire l’objet, en vertu de l’article 83 du RGPD, d’une amende administrative pouvant s’élever jusqu’à 20 000 000 euros ou jusqu’à 4 % du chiffre d’affaires annuel mondial de l’exercice précédent, le montant le plus élevé étant retenu.
96. La formation restreinte rappelle également que les amendes administratives doivent être à la fois dissuasives et proportionnées. Elle considère en particulier que l’activité de la société et sa situation financière doivent notamment être prises en compte pour la détermination du montant de l’amende administrative. Elle relève à cet égard que la société […] a réalisé un chiffre d’affaires d’environ […] dollars en 2019 et de plus de […] dollars en 2020.
97. Par ailleurs, la formation restreinte acte les efforts réalisés par la société pour se mettre en conformité tout au long de la procédure, ainsi que le fait que son modèle d’affaires n’est pas fondé sur l’exploitation des données à caractère personnel. 
98. Dès lors, au vu de ces éléments, la formation restreinte considère que le prononcé d’une amende administrative d’un montant de 800 000 euros apparaît justifié.