AgentPublic/cnil huggingface dataset:
20. La formation restreinte observe, par ailleurs, que la politique de confidentialité, dans sa version disponible sur le site web " shein.com " au jour du contrôle en ligne, " explique comment Infinite Styles Co., Limited, qui exerce ses activités sous le nom de " SHEIN ", collecte, utilise, partage et traite vos données à caractère personnel lorsque vous utilisez ou accéder au présent site Web (le " Site ") " et précise que " le Site et l’Application sont fournis par Infinite Services Co. Limited, qui est le responsable du traitement et de la protection de vos données à caractère personnel ".
21. Au vu de ce qui précède, la formation restreinte considère, sans que cela ait d’ailleurs été contesté par la société, que la société INFINITE STYLES SERVICES CO. LIMITED agit en qualité de responsable du traitement relatif au dépôt et à la lecture de cookies sur le terminal des utilisateurs du site web " shein.com ".
B. Sur la compétence de la CNIL
1. Sur la compétence matérielle de la CNIL et la non-application du mécanisme de " guichet unique " prévu par le RGPD
22. Le traitement objet de la présente procédure, relatif au dépôt de cookies sur le terminal des utilisateurs résidant en France lors de la navigation sur le sous-domaine français du nom de domaine " shein.com ", est effectué dans le cadre de la fourniture de services de communications électroniques accessibles au public par le biais d’un réseau public de communications électroniques proposés au sein de l’Union européenne. À ce titre, il entre dans le champ d’application matériel de la directive " ePrivacy ".
23. L’article 5, paragraphe 3, de cette directive, relatif au stockage ou à l’accès à des informations déjà stockées dans l’équipement terminal d’un abonné ou d’un utilisateur, a été transposé en droit interne à l’article 82 de la loi Informatique et Libertés, au sein du chapitre IV de la loi relatif aux droits et obligations propres aux traitements dans le secteur des communications électroniques.
24. Aux termes de l’article 16 de la loi Informatique et Libertés, " la formation restreinte prend les mesures et prononce les sanctions à l'encontre des responsables de traitements ou des sous-traitants qui ne respectent pas les obligations découlant […] de la présente loi ". Selon l’article 20, paragraphe III, de cette même loi, " lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant […] de la présente loi, le président de la Commission nationale de l'informatique et des libertés […] peut saisir la formation restreinte ".
25. Le rapporteur considère que la CNIL est matériellement compétente pour contrôler et, le cas échéant, sanctionner les opérations d’accès ou d’inscription d’informations mises en œuvre par la société INFINITE STYLES SERVICES CO. LIMITED dans les terminaux des utilisateurs du sous-domaine français du nom de domaine " shein.com ", ce que conteste cette dernière.
26. En défense, la société considère que, dès lors que les cookies qu’elle dépose sur les terminaux des utilisateurs permettent la collecte et le traitement de données à caractère personnel, le traitement en cause relève du RGPD et non de la loi Informatique et Libertés. Elle considère également que le mécanisme du guichet unique s’applique compte tenu du caractère transfrontalier du traitement en cause. Elle en conclut que l’autorité compétente pour se prononcer sur ce traitement est l’autorité irlandaise et non pas la CNIL.
27. La formation restreinte rappelle, d’abord, que dès lors que les traitements objets du contrôle sont effectués dans le cadre de la fourniture de services de communications électroniques accessibles au public par le biais d’un réseau public de communications électroniques proposé au sein de l’Union européenne, ils entrent dans le champ d’application matériel de la directive " ePrivacy ". A cet égard, elle souligne qu’il convient de distinguer, d’une part, le dépôt et la lecture de cookies dans le terminal des utilisateurs se rendant sur le domaine " shein.com ", qui est soumis aux dispositions de l’article 5, paragraphe 3, de la directive " ePrivacy ", transposées en droit français à l’article 82 de la loi Informatique et Libertés, et d’autre part, le traitement subséquent, opéré à partir des données à caractère personnel collectées par l’intermédiaire de ces cookies, qui est soumis aux dispositions du RGPD.
28. Elle relève ensuite qu’il ressort des dispositions précitées que le législateur français a chargé la CNIL de veiller au respect, par les responsables de traitement, des dispositions de la directive " ePrivacy " transposées à l’article 82 de la loi Informatique et Libertés, en lui confiant notamment le pouvoir de sanctionner toute méconnaissance de ces articles.
29. La formation restreinte rappelle enfin que le Conseil d’État a, dans sa décision Société GOOGLE LLC et société GOOGLE IRELAND LIMITED du 28 janvier 2022, confirmé que le contrôle des opérations d’accès ou d’inscription d’informations dans les terminaux des utilisateurs en France d’un service de communications électroniques, même procédant d’un traitement transfrontalier, relève de la compétence de la CNIL et que le système du guichet unique prévu par le RGPD n’est pas applicable : " il n’a pas été prévu l’application du mécanisme dit du " guichet unique " applicable aux traitements transfrontaliers, défini à l’article 56 de ce règlement, pour les mesures de mise en œuvre et de contrôle de la directive 2002/58/CE du 12 juillet 2002, qui relèvent de la compétence des autorités nationales de contrôle en vertu de l’article 15 bis de cette directive. Il s’ensuit que, pour ce qui concerne le contrôle des opérations d’accès et d’inscription d’informations dans les terminaux des utilisateurs en France d’un service de communications électroniques, même procédant d’un traitement transfrontalier, les mesures de contrôle de l’application des dispositions ayant transposé les objectifs de la directive 2002/58/CE relèvent de la compétence conférée à la CNIL par la loi du 6 janvier 1978 […] " (CE, 28 janvier 2022, 10ème et 9ème chambres réunies, société GOOGLE LLC et société GOOGLE IRELAND LIMITED, n° 449209, au recueil). Le Conseil d’État a réaffirmé cette position dans une décision du
27 juin 2022 (CE, 10ème et 9ème chambres réunies, 27 juin 2022, société AMAZON EUROPE CORE, n° 451423, aux Tables).
30. Dès lors, la formation restreinte considère que la CNIL est compétente pour contrôler et engager une procédure de sanction concernant le traitement relatif au dépôt et à la lecture de cookies dans le terminal des utilisateurs se rendant sur le site web français " shein.com ", qui relève du champ d’application de la directive " ePrivacy ", sous réserve que le traitement se rattache à sa compétence territoriale.
2. Sur la compétence territoriale de la CNIL
31. La règle d’application territoriale des exigences figurant à l’article 82 de la loi Informatique et Libertés est fixée à l’article 3, paragraphe I, de la même loi, qui dispose : " sans préjudice, en ce qui concerne les traitements entrant dans le champ du règlement (UE) 2016/679 du 27 avril 2016, des critères prévus par l'article 3 de ce règlement, l'ensemble des dispositions de la présente loi s'appliquent aux traitements des données à caractère personnel effectués dans le cadre des activités d'un établissement d'un responsable du traitement […] sur le territoire français, que le traitement ait lieu ou non en France ".
32. Le rapporteur considère que la CNIL est territorialement compétente en application de ces dispositions dès lors que le traitement consistant en des opérations d’accès ou d’inscription dans le terminal d’utilisateurs situé en France lors de la navigation sur le site web " shein.com ", est effectué dans le " cadre des activités " de la société INFINITE STYLES ECOMMERCE FRANCE, laquelle constitue " l’établissement " sur le territoire français de la société irlandaise INFINITE STYLES SERVICES CO. LIMITED.
33. La société conteste cette analyse à deux titres. S’agissant de la notion d’établissement, la société soutient qu’elle fait certes partie du même groupe que la société INFINITE STYLES ECOMMERCE FRANCE, mais souligne que les deux sociétés n’ont pas de lien juridique. Elle considère donc que la société INFINITE STYLES ECOMMERCE FRANCE ne peut pas être regardée comme son établissement au sens de la décision Weltimmo de la Cour de justice de l’Union européenne (ci-après " la Cour de justice " ou " la CJUE ") (1er octobre 2015, C-230/14). S’agissant de l’existence d’un traitement effectué dans le cadre des activités de l’établissement français, la société soutient que le traitement en cause n’intervient pas dans le cadre des activités de la société INFINITE STYLES ECOMMERCE FRANCE, dès lors que cette dernière ne promeut ou ne commercialise pas d’espace publicitaire sur le site web " shein.com " sur lequel les cookies sont déposés et qu’elle n’exploite pas et n’a pas accès aux données collectées par ces cookies.
34. A titre liminaire, la formation restreinte rappelle que pour déterminer si la CNIL dispose d’une compétence pour contrôler le respect par la société INFINITE STYLES SERVICES CO. LIMITED des exigences prévues à l’article 82 de la loi Informatique et Libertés dans le cadre du traitement objet de la procédure, il convient d’examiner si les deux critères d’application territoriale prévus au paragraphe I de l’article 3 de cette loi sont réunis, à savoir, d’une part, si cette société dispose d’un " établissement sur le territoire français " et si, d’autre part, le traitement en cause est effectué " dans le cadre des activités de cet établissement ".
35. En premier lieu, s’agissant de l’existence d’un établissement du responsable de traitement sur le territoire français, la formation restreinte rappelle que, de façon constante, la CJUE a considéré que la notion d’établissement doit être appréciée de façon souple et qu’à cette fin, il convenait d’évaluer tant le degré de stabilité de l’installation que la réalité de l’exercice des activités dans un État membre, en tenant compte de la nature spécifique des activités économiques et des prestations de services en question.
36. A cet égard, la Cour de justice a relevé que " le considérant 19 de la directive 95/46 précise que l’établissement sur le territoire d’un État membre suppose l’exercice effectif et réel d’une activité au moyen d’une installation stable " et que " la forme juridique retenue pour un tel établissement, qu’il s’agisse d’une simple succursale ou d’une filiale ayant la personnalité juridique, n’est pas déterminante " (CJUE, 13 mai 2014, Google Spain, C-131/12, point 48). La Cour a précisé que " la notion d’ " établissement ", au sens de la directive 95/46, s’étend à toute activité réelle et effective, même minime, exercée au moyen d’une installation stable ", le critère de stabilité de l’installation étant examiné au regard de la présence de " moyens humains et techniques nécessaires à la fourniture de services concrets en question " (CJUE, 1er octobre 2015, Weltimmo, C 230/14, points 30 et 31).
37. L’appréciation de l’existence d’un " établissement sur le territoire français " au sens du I de l’article 3 de la loi Informatique et Libertés procède donc d’une appréciation in concreto et casuistique.
38. Cette même logique a également été appliquée par la CJUE en matière de droit de la concurrence, pour apprécier la notion " d’entreprise " et " d’unité économique " (voir par exemple CJUE C-41/90 du 23 avril 1991, paragraphe 21 ; CJUE, troisième chambre, 14 décembre 2006, C-217/05, paragraphe 41 ; CJUE, troisième chambre, 10 septembre 2009, C 97/08 P, paragraphes 54 et 55 ; CJUE, grande chambre, 6 octobre 2021, affaire C 882/19, paragraphe 41).
39. En l’occurrence, la formation restreinte relève qu’il ressort des éléments du dossier que la société INFINITE STYLES ECOMMERCE FRANCE, créée le 6 mai 2022, est établie au 13-15 rue Taitbout, à Paris (75009). Cette société constitue donc une installation stable en France, qui compte 23 salariés.
40. Il ressort de son extrait " Kbis " qu’elle a pour objet " [l’]import, [l’]export d’habillement et accessoire, [la] vente en ligne, [la] vente en détail, [l’]opération marketing, [le] marketing digital ". La formation restreinte relève que, malgré la demande de la délégation de contrôle, la société INFINITE STYLES ECOMMERCE FRANCE n’a pas communiqué les contrats encadrant sa relation avec la société INFINITE STYLES SERVICES CO. LIMITED.
41. Lors de son audition à la CNIL le 5 octobre 2023, la société INFINITE STYLES ECOMMERCE FRANCE a précisé que " la principale mission de l’établissement français est de promouvoir la marque " SHEIN " [… ] l’établissement français promeut la marque " SHEIN " par le biais d’activités de marketing hors ligne ou " in person ". Ainsi, il peut : organiser des défilés de mode ; implémenter des boutiques éphémères ; réaliser de la publicité, par exemple par le biais de panneaux publicitaires ; etc. L’établissement français peut aussi lancer des opérations photos et produire du contenu pour le site web " shein.com " ". La formation restreinte considère, dès lors, que la société INFINITE STYLES ECOMMERCE FRANCE exerce une activité économique effective sur le territoire français, laquelle contribue au rayonnement du sous-domaine français du nom de domaine " shein.com " géré par la société INFINITE STYLES SERVICES CO LIMITED. Les sociétés INFINITE STYLES ECOMMERCE FRANCE et INFINITE STYLES SERVICES CO. LIMITED sont ainsi " liées économiquement " (CJUE, 4ème chambre, 17 mai 2018, C-531/16). Elles entretiennent, en effet, des liens étroits d'une nature telle qu'ils rapprochent les deux sociétés au point de les unir dans une entité économique.
42. En outre, et comme cela a été indiqué au paragraphe 2, les sociétés INFINITE STYLES ECOMMERCE FRANCE et INFINITE STYLES SERVICES CO LIMITED font partie du même groupe et sont toutes deux détenues à des degrés différents par leur maison mère, la société ROADGET BUSINESS PTE LTD. En effet, la société INFINITE STYLES ECOMMERCE FRANCE est intégralement et directement détenue par la société INFINITE STYLES ECOMMERCE CO. LTD, elle-même intégralement et directement détenue par la société ROADGET BUSINESS PTE LTD, qui détient intégralement et directement, par ailleurs, la société INFINITE STYLES SERVICES CO LIMITED.
43. Ainsi, la formation restreinte estime, pour les raisons exposées ci-dessus, que la société INFINITE STYLES ECOMMERCE FRANCE constitue un " établissement ", au sens de l’article 3 de la loi Informatique et Libertés, de la société INFINITE STYLES SERVICES CO LIMITED. Elle considère que cette analyse est pleinement conforme à la jurisprudence précitée de la CJUE, qui consacre une approche in concreto et casuistique de la notion " d’établissement ", et invite à considérer les relations entre les différentes entités d’un groupe non pas uniquement au regard de leurs liens capitalistiques mais, plus largement, en tenant compte de leur relation économique. Dans ce contexte, la circonstance que la société INFINITE STYLES ECOMMERCE FRANCE n’est pas une filiale de la société INFINITE STYLES SERVICES CO LIMITED est sans incidence sur sa qualité d’établissement de cette société dès lors qu’elles appartiennent au même groupe, qu’elles sont toutes deux des filiales de leur maison mère, et qu’elles poursuivent des intérêts économiques communs.
44. En second lieu, s’agissant de l’existence d’un traitement effectué dans le cadre des activités de l’établissement français, la formation restreinte rappelle tout d’abord qu’il n’est pas nécessaire que le traitement en cause soit réalisé " par cet établissement " (arrêt précité Google Spain, pt. 57), et qu’il suffit que l’un des établissements facilite ou favorise suffisamment le déploiement dans le territoire français du traitement de données à caractère personnel mis en œuvre par le responsable de traitement établi dans un autre État membre pour qu’il y ait obligation de respecter la loi territorialement applicable en France et pour fonder la compétence de l’autorité de contrôle nationale.
45. Elle souligne que dans le cadre de sa jurisprudence, la Cour de justice a eu l’occasion de préciser à plusieurs reprises que l’expression " dans le cadre des activités d’un établissement " ne devait pas recevoir une interprétation restrictive (voir, arrêts précités Google Spain, pt 53 et Weltimmo, pt 25).
46. Elle relève ensuite que le Conseil d’État, dans sa décision AMAZON EUROPE CORE, a rappelé qu’" il résulte de la jurisprudence de la Cour de justice de l’Union européenne, notamment de son arrêt du 5 juin 2018, Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein contre Wirtschaftsakademie Schleswig-Holstein GmbH (C-210/16), qu’au vu de l’objectif poursuivi par cette directive [la directive " ePrivacy "], consistant à assurer une protection efficace et complète des libertés et des droits fondamentaux des personnes physiques, notamment du droit à la protection de la vie privée et à la protection des données à caractère personnel, un traitement de données à caractère personnel peut être regardé comme effectué " dans le cadre des activités " d’un établissement national non seulement si cet établissement intervient lui-même dans la mise en œuvre de ce traitement, mais aussi dans le cas où ce dernier se borne à assurer, sur le territoire d’un État membre, la promotion et la vente d’espaces publicitaires permettant de rentabiliser les services offerts par le responsable d’un traitement consistant à collecter des données à caractère personnel par le biais de traceurs de connexion installés sur les terminaux des visiteurs d’un site " (CE, 10ème et 9ème chambres réunies, 27 juin 2022, société AMAZON EUROPE CORE, n° 451423, aux Tables).
47. Le Conseil d’Etat a considéré, dans cette décision, que " la société Amazon Online France, dont il n'est pas contesté qu'elle constitue un établissement de la société Amazon Europe Core en France, exerçait une activité de promotion et de commercialisation d'outils publicitaires contrôlés et exploités par la société Amazon Europe Core, fonctionnant notamment grâce aux données collectées par le biais des traceurs de connexion déposés sur les terminaux des utilisateurs du site " amazon.fr " en France. Il résulte […] qu'en déduisant de ces éléments que le traitement de données mis en œuvre par la société Amazon Europe Core était effectué dans le cadre des activités de son établissement Amazon Online France situé en France, au sens de l'article 3 de la loi du 6 janvier 1978, la formation restreinte de la CNIL, qui n'avait pas à justifier sa propre compétence dans les motifs de sa délibération et n'a donc pas, contrairement à ce qui est soutenu, insuffisamment motivé sa décision sur ce point, a fait une exacte application des dispositions de cet article 3. " (point 15 de la décision précitée).
48. La formation restreinte rappelle tout d’abord que dans la décision susvisée, le Conseil d’Etat a apprécié la compétence territoriale de la CNIL au regard des éléments de l’espèce et qu’il n’a pas entendu considérer que c’est par le seul biais de la promotion et de la commercialisation d’outils publicitaires qu’il peut être considéré qu’un traitement de données est effectué " dans le cadre des activités " d’un établissement.
49. La formation restreinte relève que, lors de l’audition du 5 octobre 2023, la société INFINITE STYLES ECOMMERCE FRANCE a déclaré à la délégation que " la principale mission de l’établissement français est de promouvoir la marque " SHEIN ". Comme indiqué au paragraphe 40, son activité consiste notamment à réaliser de la promotion " hors ligne " de la marque " SHEIN ". A titre d’exemple, la société INFINITE STYLES ECOMMERCE FRANCE signale des évènements locaux, tels que la fête des mères, aux autres entités du groupe SHEIN, lesquelles vont ensuite réaliser des campagnes de publicité en ligne invitant les destinataires à se rendre sur le site web " shein.com " pour effectuer leurs cadeaux. La société INFINITE STYLES ECOMMERCE FRANCE organise également des évènements avec des journalistes et des influenceurs, permettant ainsi d’accroitre la visibilité de la marque " SHEIN " auprès de potentiels clients résidant sur le territoire français, qui se rendront, pour ceux qui veulent réaliser un achat, sur le site web " shein.com ".
50. En effet, la formation restreinte note que mis à part quelques boutiques éphémères, les produits vendus par la société sont quasi-exclusivement vendus par le biais de son site web. Ainsi, la promotion " hors ligne " réalisée par la société INFINITE STYLES ECOMMERCE FRANCE a pour objectif d’inciter les personnes à se rendre sur le site web de la société, à partir duquel seront déposés des cookies qui serviront, en partie, à tracer leur navigation afin de leur afficher des publicités pour des produits qu’elle vend.
51. Dès lors, selon la formation restreinte, le critère relatif au traitement effectué " dans le cadre des activités " de l’établissement français est également rempli.
52. Il résulte de ce qui précède que la loi Informatique et Libertés modifiée est applicable en l’espèce et la CNIL compétente pour exercer ses pouvoirs.
C. Sur les griefs tirés de l’irrégularité de la procédure
1. Sur le grief tiré du défaut d’impartialité de la formation restreinte
53. La société fait valoir un grief tiré de l’impartialité des membres de la formation restreinte de la CNIL. Elle relève, d’une part, une absence de stricte séparation des pouvoirs entre les membres de la formation plénière, organe qui fixe la doctrine de la CNIL, et ceux de la formation restreinte, organe de jugement, au motif que les membres de la formation restreinte siègent en formation plénière. Elle note, d’autre part, l’autorité exercée par le président de la CNIL, organe de poursuite, sur les membres de la formation restreinte, organe de jugement.
54. En premier lieu, la formation restreinte relève que la composition de la formation restreinte de la CNIL est définie par la loi Informatique et Libertés, son article 9-I prévoyant qu’elle " est composée d'un président et de cinq autres membres élus par la commission en son sein ".
55. Elle rappelle en outre que dans sa décision du 21 avril 2023, le Conseil d’Etat s’est déjà prononcé sur l’organisation interne d’une autorité administrative indépendante, en l’occurrence l’Autorité de régulation des communications électroniques, des postes et de la distribution de la presse, dont l’organisation est similaire à celle de la CNIL. Il a considéré que le grief tiré de la méconnaissance du principe d’impartialité était dépourvu de caractère sérieux, estimant, d’une part, que " la circonstance que le collège […] émette un avis sur les propositions d’engagements formulées par les opérateurs […] n’a ni pour objet ni pour effet de conduire ses membres à préjuger la réalité et la qualification des faits dont il appartiendra, le cas échéant à la formation […], composée d’une partie d’entre eux, d’apprécier la suite à donner dans le cadre d’une procédure de contrôle du respect de ces engagements […] ", et d’autre part, que " dans le cadre des objectifs de régulation qui lui ont été assignés et qui figurent à l'article L. 32-1 du même code, l'ARCEP est compétente pour contrôler le respect des obligations résultant des dispositions législatives et réglementaires et des textes et décisions pris en application de ces dispositions au respect desquelles l'autorité a pour mission de veiller. En outre, l'attribution par la loi à une autorité administrative indépendante du pouvoir de fixer les règles dans un domaine déterminé et d'en assurer elle-même le respect, par
l'exercice d'un pouvoir de contrôle des activités exercées et de sanction des manquements constatés, ne contrevient pas aux exigences découlant de l'article 16 de la Déclaration des droits de l'homme et du citoyen dès lors que ce pouvoir de sanction est aménagé de telle façon que soient assurés le respect des droits de la défense, le caractère contradictoire de la procédure et les principes d'indépendance et d'impartialité " (soulignement ajouté). Le Conseil d’Etat ajoute enfin qu’ " une sanction prononcée par [cette autorité] peut faire l’objet d’un contrôle juridictionnel dans des conditions dont il n’est pas sérieusement contesté qu’elles sont propres à garantir les droits de la personne sanctionnée " (CE, 21 avril 2023, n° 464349 pts 9 et 11).