AgentPublic/cnil huggingface dataset:
11. Le fichier comportait également une zone de commentaire libre dans laquelle pouvaient être indiqués les évènements auxquels ces personnes avaient assisté ou qu’elles avaient organisé, les personnes avec qui elles travaillaient, les contacts qu’elles avaient eus avec des représentants de la société X ou encore les articles qu’elles avaient publiés au sujet du [...].
12. En outre, entre 2016 et 2017, la société Y a notamment chargé la société XX, pour le compte de la société X, d’identifier les personnes influentes dans le débat public en France, de produire des notes d’analyse relatives aux tendances électorales en France et de procéder à une veille des médias sur l’actualité législative et politique française en lien avec le débat sur le renouvellement de l’autorisation d’utilisation du [...] en Europe. La société Y a mis fin à la mission de la société XX au mois d’avril 2017.
13. Afin d’instruire ces éléments, la présidente de la Commission a désigné Madame Valérie PEUGEOT en qualité de rapporteure, le 5 novembre 2020, sur le fondement de l’article 22 de la loi du 6 janvier 1978 modifiée.
14. À l’issue de son instruction, la rapporteure a fait signifier par huissier de justice à la société X, le 15 février 2021, un rapport détaillant les manquements au RGPD qu’elle estimait constitués en l’espèce. Était également jointe au rapport une convocation à la séance de la formation restreinte du 1er avril 2021, indiquant à la société qu’elle pouvait produire ses observations en réponse au plus tard le 16 mars 2021.
15. Ce rapport proposait à la formation restreinte de la Commission de prononcer à l’encontre de la société X une amende administrative. Il proposait également que cette décision soit rendue publique et ne permette plus d’identifier nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.
16. Le 15 mars 2021, la société a produit des observations en réponse. Le 23 mars 2021, la rapporteure a demandé au président de la formation restreinte, sur le fondement de l’article 40, alinéa 4, du décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi Informatique et Libertés (ci-après " le décret du 29 mai 2019 "), un délai supplémentaire pour répondre aux observations de la société, qui lui a été accordé le 25 mars 2021. Cette information a été portée à la connaissance de la société le jour même. Elle a également été informée de ce que la séance de la formation restreinte initialement prévue le 1er avril était reportée à une date ultérieure.
17. Le 23 mars 2021, la société a formulé une demande pour que la séance de la formation restreinte se tienne à huis clos, demande qui a été rejetée par le président de la formation restreinte, par courrier du 8 avril 2021.
18. La rapporteure a répondu aux observations de la société le 9 avril 2021. Le même jour, le secrétaire général de la CNIL a informé la société que la séance de formation restreinte se tiendrait le 20 mai 2021.
19. Le 5 mai 2021, la société a présenté de nouvelles observations en réponse à celles du rapporteur.
20. La société et la rapporteure ont présenté des observations orales lors de la séance de la formation restreinte.
II. Motifs de la décision
A. Sur le grief tiré de l’impartialité de la procédure
21. La société X reproche à la rapporteure d’avoir fait preuve de partialité dans son instruction dans la mesure où son rapport de sanction serait essentiellement fondé sur les déclarations de la société Y et où certains documents communiqués à la CNIL par les sociétés Y et XX lors des contrôles ne lui auraient pas été transmis. Elle souligne également que ni les services de la CNIL ni la rapporteure n’ont procédé à son audition alors que la société Y a été entendue par la délégation de contrôle de la CNIL. Elle souligne en outre que la société Y avait tout intérêt à imputer la responsabilité du traitement mis en œuvre à la société X.
22. La société reproche également à la rapporteure de n’avoir retenu à son encontre que des éléments à charge et d’avoir écarté des débats certains documents. Elle note en outre que certaines pièces annexées au rapport de la rapporteure ont partiellement été occultés, la privant ainsi du droit à préparer efficacement sa défense. En particulier, la société se plaint de ce que l’étude d’impact réalisée par la société Y ne lui a pas été communiquée. Elle note encore que le rapport d’audit réalisé par la société YY à la suite de la publication des articles de presse et de la diffusion des reportages, audit qui a été réalisé à la demande de la société zz et dont le rapport démontre l’absence du fichier litigieux au sein du système d’information de la société X, n’est pas discuté par la rapporteure.
23. En premier lieu, la formation restreinte note que le procès-verbal d’audition des représentants de la société Y, réalisée par la délégation de contrôle de la CNIL le 21 janvier 2020, fait partie des pièces annexées au rapport de sanction qui a été notifié à la société le 15 février 2021 de même que toutes les autres pièces sur lesquelles la rapporteure a fondé son analyse et sa proposition dans le cadre de la procédure. Ainsi, comme le prévoit l’article 40 du décret no 2019 536 du 29 mai 2019, la société a eu la possibilité de formuler des observations écrites en réponse au rapport de la rapporteure et donc de remettre en cause toute déclaration formulée par la société Y qu’elle estimait erronée ou mensongère. Au demeurant, la formation restreinte souligne que la société a également eu la possibilité de produire de nouvelles observations en réponse à celles de la rapporteure et, qu’enfin, elle a pu développer ses arguments au cours de la séance de la formation restreinte du 20 mai 2021, conformément à l’article 42 du décret précité. La société X a donc pu faire valoir ses observations à différents stades de la procédure, conformément aux dispositions applicables.
24. En deuxième lieu, la formation restreinte note que le choix de la rapporteure d’annexer à son rapport de sanction seulement les éléments utiles à la caractérisation des manquements qu’elle estimait devoir être reprochés à la société, et non l’ensemble des éléments recueillis dans le cadre des procédures de contrôle, n’entrave aucunement les droits de la défense de la société. En effet, d’une part, la rapporteure a pu librement considérer que certains documents n’étaient pas utiles à sa démonstration et, d’autre part, comme expliqué au point précédent, la procédure contradictoire organisée par la loi " Informatique et Libertés " et le décret pris pour son application ont permis à la société de produire tout document qu’elle estimait utile à sa défense.
25. S’agissant du fait que certains documents communiqués par la rapporteure comporte des occultations, la formation restreinte note que la rapporteure a indiqué que ces occultations portaient sur des informations protégées par le secret des affaires, sans lien avec la présente procédure, ou sur des données à caractère personnel. La formation restreinte note par ailleurs qu’à l’occasion de sa réponse aux observations de la société en date du 9 avril 2021, la rapporteure a finalement communiqué à la société plusieurs de ces documents dans leur version intégrale.
26. La formation restreinte rappelle au demeurant qu’elle n’a pas été rendue destinataire des versions non occultées de ces documents, de sorte qu’elle n’a connaissance d’aucun élément supplémentaire qui n’aurait pas été communiqué à la société dans le cadre de la procédure. En tout état de cause, la formation restreinte précise que les occultations en question n’ont nullement dénaturé sa compréhension du dossier et n’ont pas eu d’incidence sur sa prise de décision.
27. En troisième lieu, s’agissant de l’absence d’audition de la société, la formation restreinte relève tout d’abord qu’un contrôle sur pièces de la société X a été réalisé par une délégation de la CNIL, qui s’est traduit par l’envoi d’un questionnaire l’interrogeant sur la mise en œuvre du traitement en question, auquel la société a répondu. La formation restreinte observe ainsi que la société a bien été entendue en cours de la procédure, dans le respect des dispositions légales applicables, le contrôle sur pièces constituant l’une des quatre formes de contrôle prévues par l’article 19 de la loi Informatique et Libertés. Ensuite, elle rappelle que l’audition par le rapporteur de l’organisme contre lequel une procédure de sanction a été initiée n’est qu’une faculté qui est offerte au rapporteur par l’article 39 du décret précité et non une étape obligatoire de la procédure. La formation restreinte relève en outre que la société n’a pas non plus sollicité d’audition directement auprès de la rapporteure.
Au vu de ce qui précède, la formation restreinte considère que la procédure suivie dans la présente procédure n’est pas entachée d’irrégularité.
B. Sur la qualité de responsable de traitement de la société X
28. Aux termes de l’article 4 (7) du RGPD, le responsable de traitement est défini comme étant " la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement ".
29. La rapporteure considère qu’en l’espèce, la société X doit être regardée comme le responsable du traitement en question dans la mesure où elle est la personne pour le compte de laquelle le traitement est mis en œuvre, qui détermine pourquoi le traitement a lieu et comment son objectif doit être atteint. En effet, le fichier en cause avait pour objet de permettre à la société X d’identifier et de recenser les parties prenantes du secteur afin de mettre en place une stratégie de communication ciblée en faveur du renouvellement de l’autorisation du [...] par la Commission européenne. Elle rappelle ainsi que c’est pour atteindre cet objectif qu’elle a décidé de confier à la société Y l’ensemble des activités liées aux relations publiques et à la réputation de l’entreprise et, plus particulièrement à compter de 2016, une mission de représentation d’intérêts concernant l’utilisation du [...] en Europe et dans le monde et que c’est dans le cadre de cette mission que le fichier nommé " [...] " a été établi.
30. En défense, la société estime que la responsabilité du traitement incombait exclusivement à la société Y et que la rapporteure confond les notions de bénéficiaire d’un service et celle de responsable de traitement. Elle souligne que c’est la société Y qui, en sa qualité d’entreprise spécialisée en matière de conseil et de relations publiques, a construit le fichier de manière autonome, selon une méthodologie qu’elle a elle-même définie, puis qui l’a proposé à la société X.
31. La société souligne que c’est en raison de l’expertise de la société Y qu’elle a fait appel à ses services et que la constitution de listes de noms est une pratique courante dans ce secteur d’activités. Elle rappelle qu’elle n’a jamais donné d’instructions à la société Y quant à la façon d’effectuer cette mission et qu’elle n’a fait que réagir aux propositions faites par cette dernière.
32. La société X explique en outre que, insatisfaite du résultat obtenu, elle n’a jamais utilisé le fichier en question. Or, elle note que si elle avait agi en tant que responsable de traitement, elle aurait demandé à la société Y de modifier le fichier à sa convenance afin d’obtenir un résultat correspondant davantage à ses attentes.
33. La société indique en outre que la société Y se présente sur son site internet comme le responsable de traitement des données traitées dans le cadre des missions qui lui sont confiées par ses clients. Elle rappelle également que c’est la société Y qui a répondu aux demandes d’exercice des droits des personnes concernées en lien avec le traitement en cause.
34. En premier lieu, la formation restreinte rappelle que le responsable de traitement est la personne qui détermine les finalités du traitement mis en œuvre, c’est-à-dire le résultat attendu ou recherché, et les moyens de ce traitement, c’est-à-dire la façon de parvenir à ce résultat.
35. Les notions de responsable de traitement et de sous-traitant sont éclairées par le Comité européen de la protection des données (ci-après " le CEPD ") dans ses lignes directrices 07/2020 adoptées le 2 septembre 2020 et soumises à consultation publique. Le CEPD y indique que " Déterminer les finalités et les moyens revient à décider respectivement du " pourquoi " et du " comment " du traitement : s’agissant d’une opération de traitement particulière, le responsable du traitement est l’acteur qui a déterminé pourquoi le traitement a lieu (c’est-à-dire " dans quel but " ou " pour quel objectif ") et comment cet objectif doit être atteint (c’est-à-dire quels moyens doivent être utilisés pour atteindre l’objectif). Une personne physique ou morale qui exerce une telle influence sur le traitement des données à caractère personnel participe ainsi à la détermination des finalités et des moyens de ce traitement conformément à la définition de l’article 4, paragraphe 7, du RGPD. Le responsable du traitement doit décider à la fois de la finalité et des moyens de traitement décrits ci-dessous. Par conséquent, le responsable du traitement ne peut pas déterminer uniquement la finalité. Il doit également prendre des décisions sur les moyens du traitement. Inversement, la partie agissant en tant que sous-traitant ne peut jamais déterminer la finalité du traitement " (traduction libre).
36. En l’espèce, il n’est pas contesté que la société X poursuivait un objectif précis, en l’occurrence favoriser et obtenir le renouvellement de l’autorisation par la Commission européenne de l’utilisation du [...]. C’est afin d’atteindre cet objectif que la société a décidé que le moyen d’y parvenir était de lancer une campagne de représentation d’intérêts pour les besoins de laquelle il était nécessaire d’établir la cartographie des parties prenantes dans le débat sur le renouvellement de l’autorisation de l’utilisation du [...] dans l’Union européenne. C’est pour parvenir à ce résultat que la société X a fait appel à la société Y, société spécialisée dans les activités liées aux relations publiques.
37. La formation restreinte relève que par un contrat cadre de prestation de services en date du 18 juillet 2013 (pièce n° 14 annexée au rapport de sanction), la société X a, entre autres, confié à la société Y, en tant qu’agence de relations publiques et de conseil en communication stratégique, des missions liées à la réputation de l’entreprise. A compter de la signature le 5 août 2016 de l’avenant n°13 (pièce n° 17 annexée au rapport de sanction), la société Y a été plus particulièrement chargée d’établir la liste des " parties prenantes " (" stakeholders ") dans le cadre de la campagne pour le renouvellement de l’autorisation du [...] en Europe.
38. La nécessité pour la société X de disposer d’une telle cartographie ressort explicitement de l’avenant n°13 lequel comporte une section " Suivi des parties prenantes à la réglementation " (traduction libre) où la société Y indique que son " objectif est d’ajouter une strate supplémentaire à la cartographie des parties prenantes afin d’avoir une image plus claire de qui discute actuellement du [...], ce qu’ils en disent et où ils le disent " (traduction libre). Cette demande a été reprise dans l’avenant n° 7 en date du 15 octobre 2016 (pièce n° 16 annexée au rapport de sanction), lequel a été renouvelé à de nombreuses reprises jusqu’au 31 mai 2019. Il apparaît ainsi que la société Y était explicitement tenue d’établir la liste des parties prenantes dans le cadre de la campagne pour le renouvellement de l’autorisation du [...] en Europe.
39. En deuxième lieu, la formation restreinte constate que, contrairement à ce que soutient la société X, il ressort de plusieurs échanges intervenus entre les deux sociétés par voie électronique que la société X a été étroitement associée à l’identification et au recensement des parties prenantes impliquées dans le débat sur le [...], activité qui s’est notamment concrétisée par l’élaboration du fichier en question. Par ailleurs, les échanges très réguliers entre les deux sociétés font apparaître que la société X formulait des demandes très précises sur ce qu’elle considérait devoir être pris en compte par la société Y dans la réalisation de ses missions et d’autres messages sont relatifs à l’organisation de réunions impliquant des représentants des deux sociétés. Les pièces annexées au rapport de sanction attestent ainsi de l’implication de la société X dans le suivi des tâches réalisées par la société Y, et notamment l’organisation d’échanges quotidiens entre les équipes, de points hebdomadaires, mensuels et trimestriels permettant à la société X de suivre l’avancée des tâches confiées à Y et la livraison du travail réalisé ou en cours de réalisation.
40. La formation restreinte considère que ces échanges démontrent que la société Y rendait compte à la société X de la progression de la campagne liée au renouvellement du [...] et des actions menées dans ce cadre, et surtout que cette dernière exerçait un pouvoir de direction sur les activités de la société Y, la privant ainsi de l’autonomie dont jouit normalement un responsable de traitement. Ces éléments démontrent que la société Y a agi en tant que sous-traitant de la société X, au sens de l’article 4(8) du RGPD.
41. La formation restreinte note enfin que la circonstance que la société X indique ne pas avoir finalement utilisé le fichier établi par Y, point qu’il n’a pas été possible de vérifier dans le cadre des contrôles de la CNIL, est sans incidence sur le fait que c’est bien elle qui, par les directives données à Y, a défini en amont les finalités et les moyens du traitement qui a été mis en œuvre en vue notamment d’établir ce fichier.
42. En troisième lieu, la formation restreinte considère qu’il ne saurait être déduit du seul fait que la société Y ait proposé à la société X une stratégie de suivi des parties prenantes que celle-ci puisse être qualifiée de responsable de traitement.
43. La formation restreinte souligne au contraire que c’est le fait pour la société X, société donneuse d’ordre, de décider d’accepter la proposition faite par la société Y, et de lui demander contractuellement de réaliser des opérations pour son compte en tant que prestataire, qui a permis au traitement d’exister. En effet, si la société X avait refusé cette proposition, la société Y n’aurait pas mis en œuvre ce traitement. Il résulte de la jurisprudence de la Cour de justice de l’Union européenne (CJUE) que le fait de recourir à un traitement de données personnelles qui a été conçu par un autre acteur et sur lequel le commanditaire ne peut qu’effectuer certains paramétrages (CJUE, 5 juin 2018, Wirtschaftsakademie Schleswig-Holstein, C-210/16), voire aucun paramétrage (CJUE, 29 juillet 2019, Fashion ID GmbH & Co. KG, C-40/17) ne dispense pas celui qui a recours à ce traitement de sa qualité de responsable de traitement. La Cour précise également qu’" une personne physique ou morale qui influe, à des fins qui lui sont propres, sur le traitement de données à caractère personnel et participe de ce fait à la détermination des finalités et des moyens de ce traitement, peut être considérée comme étant responsable du traitement, au sens de l’article 2, sous d), de la directive 95/46 " (CJUE, 10 juillet 2018, Tietosuojavaltuutettu/Jehovan todistajat, C-25/17).
44. En dernier lieu, la formation restreinte considère que le fait pour la société Y d’avoir répondu à des demandes de droits d’accès n’emporte pas pour autant la qualification de responsable de traitement. En effet, l’article 28-3-e du RGPD prévoit que le sous-traitant " aide le responsable du traitement, par des mesures techniques et organisationnelles appropriées, dans toute la mesure du possible, à s'acquitter de son obligation de donner suite aux demandes dont les personnes concernées le saisissent en vue d'exercer leurs droits ". Ainsi, au regard des spécificités du traitement, le sous-traitant peut répondre lui-même aux demandes des personnes si cette mesure permet un meilleur respect des droits des personnes. Il est d’ailleurs courant que ce soit le sous-traitant qui soit le plus à même de traiter les demandes d’exercice de droit.
La formation restreinte considère donc, compte tenu de ces éléments, que la société X doit être qualifiée de responsable de traitement.
C. Sur la compétence de la CNIL
45. L’article 55-1 du RGPD dispose que " chaque autorité de contrôle est compétente pour exercer les missions et les pouvoirs dont elle est investie conformément au présent règlement sur le territoire de l’Etat membre dont elle relève ".
46. L’article 8-2° de la loi Informatique et Libertés précise en outre que " la Commission nationale de l'informatique et des libertés (…) veille à ce que les traitements de données à caractère personnel soient mis en œuvre conformément aux dispositions de la présente loi et aux autres dispositions relatives à la protection des données personnelles prévues par les textes législatifs et réglementaires, le droit de l'Union européenne et les engagements internationaux de la France ".
47. Ainsi, la CNIL est compétente pour veiller, sur le territoire français, à ce que les traitements auxquels les dispositions du RGPD ou de la du 6 janvier 1978 modifiée s’appliquent soient mis en œuvre conformément aux dispositions de ces textes.
48. En premier lieu, l’article 3-1) du RGPD dispose " le présent règlement s'applique au traitement des données à caractère personnel effectué dans le cadre des activités d'un établissement d'un responsable du traitement ou d'un sous-traitant sur le territoire de l'Union, que le traitement ait lieu ou non dans l'Union ".
49. Il en résulte que la CNIL est compétente pour veiller à la conformité aux dispositions du RGPD des traitements de données à caractère personnel mis en œuvre dans le cadre des activités d’un établissement d’un sous-traitant d’un responsable de traitement, lorsque cet établissement est situé en France.
50. En l’espèce, la formation restreinte relève qu’il ressort des pièces du dossier que la filiale de la société Y INC. basée à Paris, la société Y France (devenue XY), est notamment intervenue dans le traitement de données à caractère personnel correspondant à l’identification et à la cartographie des parties prenantes au débat sur le renouvellement de l’autorisation du [...], qui s’est concrétisé par l’élaboration du fichier [...] " (pièce n° 13 annexée au rapport de sanction).
51. La CNIL est dès lors compétente, sur le fondement de l’article 3-1) du RGPD, pour connaître du traitement des données à caractère personnel mis en œuvre dans le cadre de l’établissement du fichier " [...] " par la société Y France.
52. En second lieu, aux termes de l’article 3(2)(b) du RGPD, les dispositions du Règlement s’appliquent " au traitement des données à caractère personnel relatives à des personnes concernées qui se trouvent sur le territoire de l'Union par un responsable du traitement ou un sous-traitant qui n'est pas établi dans l'Union, lorsque les activités de traitement sont liées (…) au suivi du comportement de ces personnes, dans la mesure où il s'agit d'un comportement qui a lieu au sein de l'Union ".
53. Par ailleurs, l’article 3 de la loi Informatique et Libertés prévoit que " les règles nationales prises sur le fondement des dispositions du même règlement renvoyant au droit national le soin d'adapter ou de compléter les droits et obligations prévus par ce règlement s'appliquent dès lors que la personne concernée réside en France, y compris lorsque le responsable de traitement n'est pas établi en France ".
54. Il résulte de ces dispositions que la CNIL est compétente pour veiller au respect des dispositions de la loi Informatique et Libertés et du RGPD à l’égard des traitements de données à caractère personnel relatifs au suivi du comportement des personnes dès lors que ces personnes résident en France, en cas d’activité de suivi basée sur des profils individuels, quel que soit le lieu où le responsable de traitement est établi.