AgentPublic/cnil huggingface dataset:
23. Ces mêmes lignes directrices retiennent que, " contrairement à la disposition de l’article 3, paragraphe 2, point a), ni l’article 3, paragraphe 2, point b), ni le considérant 24 n’introduisent expressément un degré nécessaire d’" intention de cibler " de la part du responsable du traitement ou du sous-traitant pour déterminer si l’activité de surveillance déclencherait l’application du RGPD aux activités de traitement. Toutefois, l’utilisation du mot " suivi " implique que le responsable du traitement poursuit un objectif spécifique en vue de la collecte et de la réutilisation ultérieure des données pertinentes relatives au comportement d’une personne au sein de l’Union. Le comité n’estime pas que la collecte ou l’analyse en ligne de données à caractère personnel relatives à des personnes dans l'Union serait automatiquement considérée comme un " suivi ". Il sera nécessaire de tenir compte de la finalité du traitement des données par le responsable du traitement et, en particulier, de toute analyse comportementale ou technique de profilage ultérieure impliquant ces données. Le comité tient compte du libellé du considérant 24, qui indique que pour déterminer si le traitement implique le suivi du comportement d'une personne concernée, le suivi des personnes physiques sur l’internet, y compris l’utilisation ultérieure potentielle de techniques de profilage, constitue un facteur important ".
24. Enfin, le CEPD dans ses lignes directrices indique que l’activité décrite à l’article 3, paragraphe 2, point b, englobe un large éventail d’activités dont la publicité comportementale.
25. S’agissant plus particulièrement des sous-traitants, ces lignes directrices précisent : " Lorsqu’il s’agit d’un sous-traitant non établi dans l’Union, afin de déterminer si son traitement peut être soumis au RGPD en application de l’article 3, paragraphe 2, il est nécessaire de vérifier si les activités de traitement du sous-traitant " sont liées " aux activités de ciblage du responsable du traitement. Le comité estime que, lorsque les activités de traitement d’un responsable du traitement sont liées à l’offre de biens ou de services ou au suivi du comportement des personnes dans l’Union (" ciblage "), tout sous-traitant chargé d’effectuer cette activité de traitement pour le compte du responsable du traitement relève du champ d’application du RGPD en vertu de l’article 3, paragraphe 2, en ce qui concerne ce traitement. Le caractère de " ciblage " d’une activité de traitement est lié aux finalités et moyens de celle-ci ; la décision de cibler des personnes dans l’Union ne peut être prise que par une entité agissant en tant que responsable du traitement. Une telle interprétation n’exclut pas la possibilité que le sous-traitant puisse participer activement aux activités de traitement liées à la réalisation des critères de ciblage (c’est-à-dire que le sous-traitant offre des biens ou des services ou qu’il effectue un suivi pour le compte et sur instruction du responsable du traitement) ".
26. A titre d’exemple d’activités de sous-traitants participant à l’activité de ciblage du responsable de traitement à destination de personnes situées sur le territoire européen et donc soumises au RGPD, le CEPD vise notamment le ciblage publicitaire (exemple n° 19) ou l’hébergement de données (exemple n° 20).
27. Le rapporteur soutient que la CNIL est compétente, tant sur le fondement de l’article 3-2-a) du RGPD que sur celui de l’article 3-2-b) du même Règlement. 
28. S’agissant de l’application de l’article 3-2-a) du RGPD, il considère que le traitement concerne des personnes, clientes de la société DEEZER, partout dans le monde, et en particulier au sein de l’Union européenne et en France. Il estime que l’activité de la société MOBIUS est liée à l’offre de services de la société DEEZER en ce qu’elle permet à cette dernière de réaliser des prestations de personnalisation et d’optimisation de campagnes marketing afin de proposer ses propres services de musique en streaming.
29. S’agissant de l’application de l’article 3-2-b) du RGPD, le rapporteur soutient que le traitement est également lié au suivi de comportement de personnes concernées se trouvant sur le territoire de l’Union européenne, en ce que l’activité de la société vise à créer des profils d’utilisateurs pour le compte de la société DEEZER, en créant des segments d’utilisateurs basés soit sur des critères socio-démographiques, soit sur des critères d’utilisation du service Deezer (par exemple, une campagne visant les utilisateurs abonnés depuis un nombre déterminé d’années ou ceux ayant sélectionné un grand nombre de favoris).
30. La société conteste la compétence de la CNIL et considère n’être qu’indirectement soumise à certaines obligations de l’article 28, paragraphe 3 du RGPD, imposées par la société DEEZER. Elle considère que les paragraphes 1 et 2 de l’article 3, ont un caractère alternatif. Enfin, elle considère que l’article 3-2-a) du RGPD ne peut qu’être appliqué à un responsable de traitement et non pas à un sous-traitant et qu’au sens de l’article 3-2-b), elle ne réalise pas de profils comportementaux des utilisateurs de la société DEEZER.
31. En l’espèce, la société ne disposant d’aucun établissement dans l’Union européenne, la formation restreinte considère que les paragraphes 1 et 2 de l’article 3, ont un caractère cumulatif au cas présent et qu’il convient de s’interroger sur son activité pour savoir si les traitements des données à caractère personnel qu’elle met en œuvre pour le compte de la société DEEZER sont ou non liés " au suivi du comportement des personnes dans la mesure où il s’agit de leur comportement au sein de l’Union ".
32. En premier lieu, la formation restreinte relève que la société MOBIUS SOLUTIONS LTD a transmis à la société DEEZER, à la suite de la violation de données dont cette dernière a été victime, la liste des différentes données concernant ses utilisateurs qu’elle traitait pour son compte et qui ont été divulguées dans le cadre de la violation de données. Apparaissent ainsi : l’identifiant ou l’identité de la personne, son pays, sa langue, son genre, son identifiant sur l’application, sa date de naissance, son inscription ou non à des newsletters de la société DEEZER, la date de création d’un compte, la date de création d’une session, le nombre d’écoutes de morceaux par jour, le nombre de playlists enregistrées, le nombre de playlists écoutées, la date du premier paiement, la totalité des paiements effectués, la moyenne d’écoutes de morceaux par jours, le cycle de vie, les indicateurs d’étapes du cycle de vie, la durée d’écoute par jour, les artistes favoris, le nombre de playlists créées, le nombre de clic de pause, le nombre de " loved " cliqué, etc. 
33. Ces données constituent des données à caractère personnel des utilisateurs des services DEEZER, situés au sein de l’Union européenne et notamment en France. La société MOBIUS SOLUTIONS LTD a en effet précisé que le nombre d’utilisateurs en Europe, impactés par la violation de données, s’élevait à 21 574 775, dont 9 849 354 en France.
34. Par conséquent, la société traite des données à caractère personnel de personnes physiques situées dans l’Union européenne, et en particulier en France.
35. En second lieu, il convient de vérifier si l’activité de traitement en cause peut être considérée comme " liée au suivi du comportement " des personnes concernées au sens de l’article 3-2-b) du RGPD. Il y a lieu de relever que le RGPD n’est pas seulement applicable au traitement dont la finalité première est de suivre le comportement d’une personne résidant dans l’Union européenne, mais à tous les traitements qui sont " liés " à un tel suivi, c’est-à-dire qui sont effectués au moyen ou en lien avec des opérations de suivi des personnes résidant en Europe. 
36. Il apparaît, dans la notification de violation de données auprès de la CNIL réalisée par la société DEEZER, que le traitement réalisé par la société MOBIUS SOLUTIONS LTD consistait en la création de segments " d’utilisateurs, basés soit sur des critères socio-démographiques, soit sur des critères d’utilisation du service Deezer ". Le contrat conclu entre les sociétés mentionne explicitement son objet de " personnalisation marketing ".
37. La société MOBIUS SOLUTIONS LTD a confirmé réaliser des calculs à partir de diverses données relatives aux utilisateurs du service DEEZER et établir des segments d’utilisateurs, en fonction notamment de leurs habitudes d’écoute, en vue de permettre à DEEZER de personnaliser et adapter ses campagnes marketing afin d’optimiser l’engagement de ses clients sur ses propres services. La réalisation de ces segments implique une analyse du comportement des utilisateurs des services DEEZER, relatif à ces mêmes services, afin de leur adresser de la publicité comportementale. Contrairement à ce que soutient la société, il est dans ce contexte indifférent de savoir si les segments qu’elle réalisait étaient in fine utilisés ou non par la société DEEZER, le seul établissement de ces segments suffisant à caractériser une forme de suivi du comportement des personnes concernées.
38. La formation restreinte considère que le travail d’analyse et de segmentation réalisé par la société MOBIUS SOLUTIONS LTD à partir des données transmises par la société DEEZER doit être qualifié de profilage comportemental, lié au comportement des personnes au sein de l’Union, même si le périmètre du profil obtenu est limité à l’écoute de musique sur la plateforme DEEZER. Le traitement en cause amène en effet à la création d’un profil comportemental des personnes concernées.
39. La formation restreinte rappelle, en outre, que la seule activité d’hébergement des données de la société DEEZER par la société, en vue de la réalisation de l’activité de ciblage publicitaire, suffit à caractériser une activité de sous-traitance en lien avec le suivi du comportement des personnes selon les lignes directrices du CEPD.
40. Les traitements ainsi mis en œuvre sont bien liés au suivi du comportement des personnes concernées au sens des dispositions de l’article 3-2-b) du RGPD et relèvent du champ d’application territorial du RGPD, sans qu’il soit besoin de se prononcer sur l’applicabilité de l’article 3-2-a) du RGPD.
B. Sur la compétence de la CNIL et la non application du mécanisme du guichet unique
41. L’article 55, paragraphe 1, du RGPD prévoit que " chaque autorité de contrôle est compétente pour exercer les missions et les pouvoirs dont elle est investie conformément au présent règlement sur le territoire de l'État membre dont elle relève ".
42. L’article 56, paragraphe 1, du RGPD dispose que " sans préjudice de l'article 55, l'autorité de contrôle de l'établissement principal ou de l'établissement unique du responsable du traitement ou du sous-traitant est compétente pour agir en tant qu'autorité de contrôle chef de file concernant le traitement transfrontalier effectué par ce responsable du traitement ou ce sous-traitant, conformément à la procédure prévue à l'article 60 ".
43. Le considérant 122 du RGPD précise que " Chaque autorité de contrôle devrait être compétente sur le territoire de l'État membre dont elle relève pour exercer les missions et les pouvoirs dont elle est investie conformément au présent règlement. Cela devrait couvrir, notamment, […] le traitement effectué par un responsable du traitement ou un sous-traitant qui n'est pas établi dans l'Union lorsque ce traitement vise des personnes concernées résidant sur le territoire de l'État membre dont elle relève. […] ".
44. Il ressort d’une lecture combinée des articles 55 et 56 du RGPD que, dans l’hypothèse où un responsable de traitement ou un sous-traitant, implanté en dehors de l’Union européenne met en œuvre au sein de l’Union européenne, un traitement transfrontalier soumis au RGPD sans y disposer d’un établissement principal ni d’un établissement unique, le mécanisme du guichet unique prévu à l’article 56 du RGPD n’est pas applicable. Chaque autorité de contrôle nationale est donc compétente pour contrôler le respect du RGPD sur le territoire de l’Etat membre dont elle relève.
45. En l’espèce, la formation restreinte relève que la société est établie en Israël et ne dispose d’aucun établissement sur le territoire d’un État membre de l’Union européenne. Le mécanisme du guichet unique n’est donc pas applicable, et la CNIL est compétente pour contrôler la conformité des traitements mis en œuvre par la société MOBIUS SOLUTIONS LTD pour le compte de la société DEEZER sur le territoire français, conformément à l’article 55, paragraphe 1 du RGPD.
C. Sur le principe de courtoisie internationale invoqué par la société
46. La société soutient qu’étant établie en Israël, pays bénéficiant d’une décision d’adéquation de la Commission européenne n° C (2011)332 du 31 janvier 2011, la CNIL devrait renoncer à sa compétence en application du principe de courtoisie internationale.
47. En l’espèce, la formation restreinte relève tout d’abord que la décision d’adéquation de la Commission européenne n° 332 du 31 janvier 2011 ne s’applique que dans le cadre d’un transfert des données à caractère personnel de l’Union européenne vers un pays hors Union européenne, pour déterminer si le pays de transfert offre des garanties suffisantes en matière de protection des données. Dans le cadre de la présente procédure, aucun manquement n’est reproché à la société au titre de transferts de données à caractère personnel, et seuls des manquements aux articles 28, 29 et 30 du RGPD sont allégués par le rapporteur.
48. Ensuite, elle note que le principe de courtoisie internationale consiste en un ensemble d’usages, non obligatoires, particulièrement usités dans le cadre des relations diplomatiques entre États. La formation restreinte rappelle que ses attributions lui sont conférées par le RGPD, dont les règles sont d’ordre public. Elle ne saurait donc écarter la mise en œuvre de ses compétences au regard du principe de courtoisie internationale.
49. Il résulte de l’ensemble de ces éléments que la CNIL est compétente pour contrôler la conformité des traitements mis en œuvre par la société MOBIUS SOLUTIONS LTD sur le territoire français. 
D. Sur la qualité de la société vis-à-vis du traitement en cause
50. Aux termes de l’article 4, point 2, du RGPD, le traitement de données à caractère personnel s’entend comme " toute opération ou tout ensemble d'opérations effectuées ou non à l'aide de procédés automatisés et appliquées à des données ou des ensembles de données à caractère personnel, telles que la collecte, l'enregistrement, l'organisation, la structuration, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, la limitation, l'effacement ou la destruction ".
51. L’article 4, point 7 du RGDP définit le responsable de traitement comme " la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement ". 
52. Aux termes de l’article 4, point 8, du RGPD, le sous-traitant est " la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui traite des données à caractère personnel pour le compte du responsable du traitement ".
53. La formation restreinte relève que la société propose une solution d’analyse, de communication et de marketing, permettant de personnaliser et d’optimiser les campagnes marketing de ses clients, notamment d’emailing.
54. Il ressort de l’instruction que la société DEEZER, qui propose la mise à disposition de sa plateforme de musique accessible en streaming (sans enregistrement préalable) pour tous ses utilisateurs, a conclu un contrat avec la société MOBIUS SOLUTIONS LTD, qui a été exécuté du 1er décembre 2016 au 1er décembre 2020. Il ressort de ce contrat que la société MOBIUS SOLUTIONS LTD, désignée comme " fournisseur de services ", mettait à la disposition de la société DEEZER sa plateforme dite " Optimove, pour la personnalisation de campagnes marketing (…), qui analyse les données fournies par le client concernant ses clients et recommande certaines actions marketing. ". Le contrat précise qu’avant de permettre l’accès à cette plateforme, la société MOBIUS SOLUTIONS LTD devait recevoir des informations concernant les utilisateurs de la société DEEZER afin d’analyser ces données.
55. La formation restreinte considère qu’il résulte de l’ensemble de ces éléments que la société MOBIUS SOLUTIONS LTD agissait pour le compte de la société DEEZER, en qualité de sous-traitant, dans le cadre de l’exécution du contrat qui les liait, la société DEEZER définissant les finalités et les moyens du traitement.
56. Dans ces conditions, la formation restreinte considère que la société doit être regardée comme sous-traitante de la société DEEZER au sens de l’article 4, point 8, du RGPD dans la cadre de sa relation contractuelle avec cette dernière.
E. Sur le manquement à l’article 28.3 g) du RGPD
57. En droit, l’article 28.3 g) du RGPD dispose que le sous-traitant : " selon le choix du responsable du traitement, supprime toutes les données à caractère personnel ou les renvoie au responsable du traitement au terme de la prestation de services relatifs au traitement, et détruit les copies existantes, à moins que le droit de l'Union ou le droit de l'État membre n'exige la conservation des données à caractère personnel ".
58. A titre d’éclairage, le considérant 81 du RGPD relève que : " […] Après la réalisation du traitement pour le compte du responsable de traitement, le sous-traitant devrait, selon le choix du responsable de traitement, renvoyer ou supprimer les données à caractère personnel, à moins que le droit de l’Union ou le droit d’Etat membre auquel le sous-traitant est soumis n’exige la conservation des données à caractère personnel ". 
59. Aux termes de l’article 5.1 e) du RGPD, " Les données à caractère personnel doivent être : […] e) conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées […] ".
60. Il résulte de la lecture combinée de ces textes que les données d’un responsable de traitement ne doivent pas être conservées par un sous-traitant, au terme de la prestation que ce dernier réalisait et qui impliquait le traitement de ces données.
61. La CNIL a déjà sanctionné un sous-traitant pour une violation de l’article 28 du RGPD (en ce sens, CNIL, FR, 15 avril 2022, Sanction, SAN 2022-009, publié).
62. Le rapporteur soutient que la société aurait dû supprimer les données à caractère personnel des utilisateurs fournies par DEEZER à la fin de leur relation contractuelle le 1er décembre 2020, comme elle y était tenue par les dispositions contractuelles.
63. En défense, la société soutient que les données qui ont fait l’objet de la violation de données sont issues d’une copie non autorisée de données non anonymisées des utilisateurs de la société DEEZER, réalisée par trois de ses salariés dans le but d’améliorer les performances des services offerts à la société DEEZER. Elle indique n’avoir découvert cette copie qu’après avoir été informée par la société DEEZER de la violation de données, et avoir lancé une enquête interne en matière de cybersécurité de son environnement " cloud ", mettant à jour qu’entre le 31 octobre et le 5 novembre 2022, elle avait subi des coûts liés au trafic (coûts de bande passante) sur le compte stockant les données issues de cette copie alors que le mois précédent, aucun coût journalier ne lui avait été facturé. Elle ajoute ne pas avoir agi intentionnellement et avoir supprimé, au moment de la fin du contrat avec la société DEEZER, l’ensemble des données dont elle avait connaissance.
64. En l’espèce, la formation restreinte relève qu’il ressort de l’article 6.1.5 du contrat conclu entre la société MOBIUS SOLUTIONS LTD et la société DEEZER que toutes les données des clients devaient être supprimées des serveurs MOBIUS SOLUTIONS LTD à la résiliation du contrat. Celle-ci est intervenue le 1er décembre 2020. Si la société MOBIUS SOLUTIONS LTD indique avoir supprimé de ses systèmes toutes les données DEEZER dont elle avait connaissance, il n’en reste pas moins qu’en novembre 2022, elle a fait l’objet d’une violation de données concernant 46 millions de données non anonymisées d’utilisateurs DEEZER dans le monde, dont plus de 9 millions en France. Cette violation a eu lieu depuis un environnement de non-production appartenant à la société MOBIUS SOLUTIONS LTD. La société indique avoir supprimé la copie des données DEEZER le 1er octobre 2023, sur instruction de cette dernière.
65. La société fait valoir que les données ont été copiées à son insu par ses salariés et qu’elle n’en avait pas connaissance, ce qui justifierait selon elle qu’elle n’ait pu procéder à leur suppression à la fin de sa relation contractuelle avec la société DEEZER, le 1er décembre 2020. Toutefois, la formation restreinte observe que ces données ont été copiées en 2019, dans le cadre du contrat liant les deux sociétés, et stockées jusqu’au 1er octobre 2023, sur un environnement de non-production appartenant à la société MOBIUS SOLUTIONS LTD, dans le cadre de ses activités et dans son propre intérêt (l’amélioration de la performance des services offerts à DEEZER mais aussi de ses propres services liés à l’utilisation de sa plateforme Optimove). La formation restreinte considère qu’en ne supprimant pas la copie des données d’utilisateurs DEEZER à la fin de la relation contractuelle, comme elle y était tenue, elle a manqué à ses obligations en tant que sous-traitant et conservé ces données pour une durée excédant celle qui était nécessaire au regard des finalités pour lesquelles elles étaient traitées. La circonstance que la copie des données ait été réalisée par ses salariés, sans que la direction de MOBIUS SOLUTIONS LTD n’en ait eu connaissance, n’a aucune incidence sur ses obligations en tant que sous-traitant dès lors qu’il lui incombait de vérifier les opérations réalisées par les salariés placés sous sa responsabilité. La société ne saurait invoquer l’absence de maîtrise de
ses outils ou l’absence de contrôle et de direction de l’activité de ses salariés pour éluder sa responsabilité, alors qu’il lui revenait de s’assurer des conditions du traitement qu’elle mettait en œuvre.
66. Il résulte de ces éléments que la société a conservé de manière injustifiée des données relatives aux utilisateurs de la société DEEZER après la fin de leur relation contractuelle, alors que ces données auraient dû être supprimées.
67. Par conséquent, la formation restreinte considère que la société a commis un manquement à l’article 28.3 g) du RGPD.
F. Sur le manquement à l’article 29 du RGPD
68. En droit, l’article 29 du RGPD dispose que " Le sous-traitant et toute personne agissant sous l’autorité du responsable du traitement ou sous celle du sous-traitant, qui a accès à des données à caractère personnel, ne peut pas traiter ces données, excepté sur instruction du responsable du traitement, à moins d’y être obligé par le droit de l’Union ou le droit d’un État membre ".
69. Le rapporteur relève que la société MOBIUS SOLUTIONS LTD a utilisé les données à caractère personnel des utilisateurs de la société DEEZER en dehors de toute instruction de cette dernière afin d’améliorer les performances de ses propres services.
70. En défense, la société considère que les données des utilisateurs de la société DEEZER ont fait l’objet d’une copie non autorisée par des salariés. Elle indique que cette copie avait pour finalité l’amélioration des performances des services fournis à ses clients, dont DEEZER et que par conséquent, elle rentrait dans le cadre de la relation contractuelle. Elle estime donc ne pas avoir agi en dehors des instructions de la société DEEZER.