AgentPublic/cnil huggingface dataset:
118. S’agissant des tables " Usermatching " et " bid_request ", elle considère que les éléments avancés et produits par la société permettent désormais à l’utilisateur de mieux comprendre les informations qui lui sont transmises.
119. La formation restreinte relève, cependant, que les explications fournies par la société ne permettent pas de justifier, à la date des constatations, de la non-communication des données contenues dans ces deux tables, alors qu’il n’est pas contesté que ces tables contiennent des données à caractère personnel qui peuvent être combinées avec d’autres données enregistrées par la société et, en particulier, avec l’identifiant attribué à chaque internaute.
120. Elle ajoute qu’il ressort de ces mêmes constatations que, dans le cadre de sa réponse aux demandes de droit d’accès, la société expliquait en une phrase succincte l’objectif de chaque table et invitait les utilisateurs à adresser un courriel pour obtenir davantage d’informations. Ainsi, en l’absence de communication systématique d’informations sur l’objectif et le contenu de chacune des colonnes figurant dans ces tables, la société plaçait l’utilisateur dans l’incertitude quant à la nature des données traitées le concernant.
121. Il résulte de ce qui précède qu’en ne communiquant pas l’intégralité des données à caractère personnel des personnes exerçant leur droit d’accès auprès d’elle et en ne mettant pas d’office à leur disposition une documentation leur permettant de comprendre les données qui leur étaient communiquées, la société a manqué à ses obligations au titre des articles 12 et 15 du RGPD.
F. Sur le manquement à l’obligation de respecter le droit de retrait du consentement et d’effacement des données
122. L’article 7, paragraphe 3, du RGPD dispose que : " La personne concernée a le droit de retirer son consentement à tout moment. Le retrait du consentement ne compromet pas la licéité du traitement fondé sur le consentement effectué avant ce retrait. La personne concernée en est informée avant de donner son consentement. Il est aussi simple de retirer que de donner son consentement ".
123. Aux termes de l’article 17, paragraphe 1, du RGPD, " La personne concernée a le droit d'obtenir du responsable du traitement l'effacement, dans les meilleurs délais, de données à caractère personnel la concernant et le responsable du traitement a l'obligation d'effacer ces données à caractère personnel dans les meilleurs délais, lorsque l'un des motifs suivants s’applique :
[…]
b) la personne concernée retire le consentement sur lequel est fondé le traitement, conformément à l'article 6, paragraphe 1, point a), ou à l'article 9, paragraphe 2, point a), et il n'existe pas d'autre fondement juridique au traitement 
[…]
d) les données à caractère personnel ont fait l'objet d'un traitement illicite 
[…]".
124. En l’espèce, des échanges ont eu lieu entre les services de la CNIL et la société à la suite de la réception de la réclamation de […] concernant sa situation individuelle mais aussi de manière plus générale, les procédures mises en place par la société pour répondre aux demandes d’exercice des droits des personnes. La société a indiqué avoir fait évoluer les mesures mises en œuvre, notamment pour rendre effectifs le droit au retrait du consentement et le droit à l’effacement des données.
125. Il ressort des investigations postérieures à ces échanges et au déploiement des mesures annoncées par la société que les personnes concernées qui souhaitaient retirer leur consentement au traitement de leurs données par la société ou qui exerçaient leur droit à l’effacement pouvaient le faire en cliquant sur le bouton " Désactiver les services X " accessible dans la politique de confidentialité de la société se trouvant sur le site " X.com ". La société a précisé que lorsqu’une personne clique sur ce bouton, un cookie d’" opt-out " est déposé dans le navigateur de la personne, permettant ainsi d’éviter le dépôt ultérieur de cookies X et l’affichage de publicités personnalisées. 
126. La société a précisé que la désactivation des services X, c’est-à-dire le fait de ne plus afficher de publicités personnalisées à la personne, pouvait également se faire par l’utilisation des plateformes mises à disposition par les associations professionnelles représentatives du secteur telles que la plateforme " YourOnlineChoices ".
127. Lors du contrôle sur place du 17 septembre 2020, la délégation a constaté que la société ne gardait plus trace dans ses bases de l’identifiant utilisateur attribué à […]. Au cours de ce même contrôle, la société a déclaré que la procédure de désactivation de ses services ne lui permettait plus " de faire le lien entre l’identifiant utilisateur concerné et le navigateur de l’utilisateur de telle sorte qu’aucune publicité ne sera proposée à cet identifiant ", sans avoir pour effet de supprimer de ses tables l’identifiant de l’utilisateur à l’origine de la demande d’opposition ou d’effacement. La société a ajouté que : " dans le cas où un identifiant utilisateur a fait l’objet d’une procédure de désactivation, il ne sera plus possible de réconcilier ultérieurement les évènements liés à cet identifiant aux autres identifiants éventuels liés à cet utilisateur ". Enfin, la société a indiqué qu’elle pouvait réutiliser l’identifiant utilisateur X ainsi que les événements liés à la demande de désactivation dans le cadre de l’amélioration de ses technologies.
128. Le rapporteur considère que la société ne répond pas aux exigences de l’article 17 du RGPD dès lors qu’elle ne procède ni à la suppression de l’identifiant de la personne ni à l’effacement des évènements de navigation liés et ce alors que le traitement de la réclamation de […] démontre qu’elle est bien en capacité de procéder à un effacement effectif des données qu’elle traite.
129. La société fait valoir qu’elle n’est pas tenue de procéder à un tel effacement dès lors qu’elle disposerait d’un intérêt légitime à conserver et à traiter les données des personnes ayant formulé une demande d’effacement au titre des six finalités suivantes : correspondance des ventes / attribution, prévention des fraudes / lutte contre la fraude, entrainement des modèles, facturation, " reporting " et résolution des incidents. 
130. En ce sens, elle s’estime fondée à ne pas procéder à la suppression effective de ces données tant que la poursuite de ces autres finalités reposant sur l’intérêt légitime justifie leur conservation. Pour chacune de ces six finalités, la société produit une étude démontrant la pertinence de recourir à cette base légale.
131. S’agissant spécifiquement de la finalité d’entrainement des modèles, la société considère que cela permet aux personnes concernées de recevoir des publicités encore plus personnalisées, ce qui rentre également dans leur intérêt. Elle ajoute que la CNIL a déjà reconnu, dans une délibération de sanction n° 2013-420 du 3 janvier 2014 et dans une décision MED-2017-075 du 27 novembre 2017, que " l’amélioration des services " pouvait être considérée comme un intérêt légitime d’un responsable de traitement.
132. La formation restreinte remarque que lorsqu’elle fait suite à une demande d’effacement, la société se limite à interrompre l’affichage de publicités personnalisées dans le terminal de la personne à l’origine de la demande, sans procéder à un effacement effectif des données relatives à cette personne. 
133. La formation restreinte relève que la société prétend ne pouvoir procéder à un tel effacement au motif qu’elle a besoin des données collectées dans le cadre de ses traitements de ciblage publicitaire, fondés sur le consentement, pour mener à bien six autres finalités qui reposent, selon cette dernière, sur la base juridique de l’intérêt légitime.
134. Or, sans qu’il soit nécessaire de se prononcer sur l’adéquation de l’intérêt légitime comme base juridique de chacune des six finalités avancées par la société, la formation restreinte considère que, dans les cas où la société n’était en tout état de cause pas en mesure de s’assurer que la personne à l’origine de la demande avait valablement consenti au traitement de ses données par la société, cette dernière ne pouvait continuer à traiter les données de cette personne pour des finalités ultérieures reposant sur le fondement de l’intérêt légitime. Or, comme il a été démontré ci-dessus, la société ne conservait aucune preuve du consentement valable des personnes, en méconnaissance de l’article 7 du RGPD. La société ne pouvait donc se limiter à interrompre l’affichage de publicités personnalisées et devait procéder à l’effacement effectif des données traitées.
135. Cette conclusion s’impose d’autant plus qu’il ressort des investigations que la société traite un volume important de données pour lesquelles il a été établi qu’elles provenaient de cookies déposés avant toute manifestation de volonté de l’internaute et même, dans certains cas, lorsque ce dernier a expressément manifesté son refus.
136. Il résulte de ce qui précède qu’en se limitant à interrompre l’affichage de publicités personnalisées et en ne procédant pas à l’effacement des données à caractère personnel en cas d’exercice de leur droit à l’effacement, pour des personnes pour lesquelles la société ne pouvait s’assurer de la réalité du consentement, la société a manqué à ses obligations au titre des articles 7 et 17 du RGPD.
G. Sur le manquement à l’obligation de prévoir un accord entre responsables conjoints de traitement
137. L’article 26 du RGPD dispose que : " 1. Les responsables conjoints du traitement définissent de manière transparente leurs obligations respectives aux fins d'assurer le respect des exigences du présent règlement, notamment en ce qui concerne l'exercice des droits de la personne concernée, et leurs obligations respectives quant à la communication des informations visées aux articles 13 et 14, par voie d'accord entre eux. 2. L'accord visé au paragraphe 1 reflète dûment les rôles respectifs des responsables conjoints du traitement et leurs relations vis-à-vis des personnes concernées ".
138. Le rapporteur relève qu’à la date des constatations, la société avait bien conclu avec ses partenaires, responsables conjoints du traitement (les annonceurs, les éditeurs et les plateformes d’enchères en ligne), un contrat qui contenait une description des traitements objets de la responsabilité conjointe et du rôle de chaque responsable vis-à-vis de ces traitements.
139. Il souligne néanmoins que cet accord ne permettait pas de conclure à la conformité de la société avec l’article 26 du RGPD.
140. La société fait valoir que, tel que rédigé, l’accord conclu avec ses partenaires n’a pas lésé les personnes concernées qui ont profité de la pleine protection du RGPD dès lors que les conditions générales d’utilisation de ses services prévoient que les partenaires doivent fournir un lien vers la politique de confidentialité de X et permettre aux personnes concernées d’exprimer leur consentement à la publicité ciblée.
141. Elle justifie néanmoins s’être dotée d’un nouvel accord entré en application le 5 juillet 2022.
142. La formation restreinte considère qu’il ressort de la rédaction de l’article 35 du RGPD que l’acte de répartition des obligations des responsables conjoints du traitement doit couvrir l’ensemble des obligations prévues par le RGPD afin de déterminer, pour chacune de ces obligations, lequel des responsables conjoints du traitement en aura la charge.
143. En l’espèce, la formation restreinte relève qu’à la date des constatations, l’accord conclu par la société avec ses partenaires ne précisait pas certaines des obligations respectives des responsables de traitements vis-à-vis d’exigences contenues dans le RGPD, telles que l’exercice par les personnes concernées de leurs droits, l’obligation de notification d’une violation de données à l’autorité de contrôle et aux personnes concernées ou bien, le cas échéant, la réalisation d’une étude d’impact au titre de l’article 35 du RGPD. 
144. Elle remarque que l’obligation de conclure un accord en cas de responsabilité conjointe est une obligation spécifique qui s’impose aux responsables de traitement conjoints au titre de l’article 26 du RGPD. 
145. Si, dans sa version du 5 juillet 2022, l’accord conclu par la société avec ses partenaires reprend désormais les mentions attendues au titre de cette disposition, la formation restreinte relève que cette conformité tardive ne remet pas en cause la caractérisation du manquement pour le passé.
146. Il résulte de ce qui précède que la société a manqué à son obligation au titre de l’article 26 du RGPD.
III. Sur le prononcé de mesures correctrices et la publicité
147. L’article 20 de la loi n° 78-17 du 6 janvier 1978 modifiée prévoit que : " lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l'informatique et des libertés peut […] saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l'une ou de plusieurs des mesures suivantes : […]
7° À l'exception des cas où le traitement est mis en œuvre par l'État, une amende administrative ne pouvant excéder 10 millions d'euros ou, s'agissant d'une entreprise, 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l'article 83 du règlement (UE) 2016/679 du 27 avril 2016, ces plafonds sont portés, respectivement, à 20 millions d'euros et 4 % dudit chiffre d'affaires. La formation restreinte prend en compte, dans la détermination du montant de l'amende, les critères précisés au même article 83 ".
148. L’article 83 du RGPD, tel que visé par l’article 20, paragraphe III, de la loi Informatique et Libertés, prévoit quant à lui que : " Chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour des violations du présent règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives ", avant de préciser les éléments devant être pris en compte pour décider s'il y a lieu d’imposer une amende administrative et pour décider du montant de cette amende.
A. Sur le prononcé d’une amende administrative et son montant
149. La société fait d’abord valoir que la CNIL a porté atteinte au principe de non-discrimination en engageant uniquement des poursuites à son égard, après avoir pourtant établi que les sites web de ses partenaires ne respectaient pas la réglementation applicable aux cookies. 
150. Elle soutient ensuite qu’elle ne devrait pas être sanctionnée pour ne s’être pas assurée que ses partenaires recueillent un consentement valide autrement que par voie contractuelle dès lors que ces vérifications devraient en fait revenir aux services de la CNIL, qui opérerait de la sorte une " privatisation " de ses missions.
151. La société estime qu’une meilleure prise en compte des critères prévus à l’article 83, paragraphe 2, du RGPD, au regard notamment de l’absence de preuve de dommage, du caractère non délibéré des manquements, des mesures prises pour atténuer les dommages, de la coopération dont elle dit avoir fait preuve avec l’autorité de contrôle et des catégories de données à caractère personnel concernées, qui présentent une faible intrusivité, justifierait que, dans le cas où la formation restreinte décidait de prononcer une amende, elle réduise sensiblement le montant de 60 millions d’euros proposé par le rapporteur.
152. Elle avance que la proposition d’amende du rapporteur représente 50 % de son résultat et près de 3 % de son chiffre d’affaires mondial, ce qui est proche du maximum légal prévu à l’article 83 du RGPD. Par comparaison, elle met en avant les précédentes décisions prononcées par la CNIL à l’encontre de Google (CNIL, FR, 31 décembre 2021, délibération de sanction n° SAN-2021-023) et de Facebook (CNIL, FR, 31 décembre 2021, délibération de sanction n° SAN-2021-024) en matière de cookies, dont le montant atteignait respectivement 0,07 % et 0,06 % de leur chiffre d’affaires global.
153. La formation restreinte rappelle, à titre liminaire, qu’il n’appartient pas à la formation restreinte de porter une appréciation sur la décision de la présidente de la CNIL d’engager des poursuites à l’égard de la seule société.
154. La formation restreinte rappelle que pour évaluer l’opportunité de prononcer une amende et déterminer son montant, elle doit tenir compte des critères précisés à l’article 83 du RGPD tels que la nature, la gravité et la durée de la violation, le nombre de personnes concernées, les mesures prises par le responsable du traitement pour atténuer le dommage subi par les personnes concernées, le degré de coopération avec l’autorité de contrôle, les catégories de données à caractère personnel concernées par la violation et les avantages financiers obtenus du fait du manquement.
155. En premier lieu, en ce qui concerne le prononcé d’une amende administrative, la formation restreinte estime qu’il convient premièrement de faire application du critère prévu à l’alinéa a) de l’article 83, paragraphe 2, du RGPD relatif à la gravité du manquement compte tenu de la nature, de la portée du traitement et du nombre de personnes concernées par ce dernier.
156. Elle rappelle tout d’abord qu’il a été établi que la société n’était pas en mesure de démontrer que les personnes concernées avaient donné leur consentement au traitement de données à caractère personnel les concernant et que les constatations de la délégation de contrôle ont mis en évidence que la société exploitait des données de navigation provenant pour partie de cookies déposés avant toute manifestation de volonté de l’internaute.
157. Ensuite, en ce qui concerne la portée du traitement, la formation restreinte remarque que le manquement est d’autant plus grave que le traitement en cause, qui vise à afficher des publicités personnalisées, est réalisé à très grande échelle et revêt, par nature, un caractère massif et intrusif. 
158. Elle rappelle que pour que les publicités affichées soient pertinentes, la société doit collecter de grandes quantités de données relatives à la navigation des internautes afin d’établir une image précise de leurs habitudes de consommation, de leurs préférences ou préoccupations du moment. 
159. Ainsi, chaque visite sur le site d’un annonceur ou d’un éditeur, chaque clic sur un produit ou encore chaque achat effectué par un internaute est enregistré par la société puis analysé à des fins publicitaires. A ce titre, la société revendique sur son site web collecter 35 milliards d’événements par jour par liés à la navigation et aux achats dans le monde. En outre, la société partage et reçoit des données de ses partenaires, pour lui permettre notamment de mieux identifier chaque internaute ou d’établir un lien entre les différents appareils et navigateurs utilisés par un même internaute.
160. La formation restreinte relève que, si prise isolément, chacune des données collectées par la société a une faible valeur identifiante, combinées entre elles, celles-ci sont susceptibles de révéler avec un degré de précision important de nombreux aspects de l’intimité de la vie des personnes, dont leur genre, leur âge et leurs habitudes de consommation, c’est à dire leurs goûts, conférant ainsi au traitement en cause un caractère massif et intrusif. 
161. Par conséquent, le résultat de la combinaison entre elles de ces données renforce considérablement le caractère massif et intrusif du traitement en cause et rend d’autant plus nécessaire qu’il soit mis en œuvre dans le strict respect des règles en vigueur, en particulier celles entourant le choix des individus quant à l’utilisation de leurs données.
162. De même, la formation restreinte rappelle que la transformation de données brutes de navigation en informations exploitables constitue le cœur d’activité de la société. Cette dernière doit donc d’autant plus être en mesure de s’assurer que les données à caractère personnel qu’elle traite respectent la règlementation en vigueur.
163. En ce qui concerne le nombre de personnes concernées par le traitement en cause, la formation restreinte relève que la société annonce disposer de données relatives à environ 370 millions d’identifiants utilisateurs à travers l’Union européenne, dont environ 50 millions d’identifiants sur le seul territoire français. Si une seule et même personne est susceptible de correspondre à plusieurs identifiants, ces chiffres révèlent la quantité substantielle de données collectées par la société. 
164. S’agissant du manquement relatif à l’information des personnes, la formation restreinte souligne qu’il a engendré une perte de contrôle des internautes sur leurs données dans la mesure où la société n’a pas mis à leur disposition une information complète et compréhensible.
165. S’agissant des manquements relatifs à l’exercice des droits d’accès, de retrait du consentement et d’effacement, la formation restreinte souligne leur caractère structurel et leur gravité en ce que les mesures déployées par la société conduisent non seulement à ce que les demandes des personnes soient incorrectement traitées mais aussi à ce que ces dernières pensent légitimement que leur demande a bien été respectée.
166. Elle rappelle ainsi qu’à la date des constatations, les personnes concernées à l’origine d’une demande d’accès ne se voyaient pas communiquer les données contenues dans deux tables de la base de la société.
167. La formation restreinte rappelle également que la prise en compte par la société d’une demande d’effacement a pour unique effet d’arrêter l’affichage de publicités personnalisées, la société continuant par ailleurs à conserver les données de la personne à l’origine de la demande et même à les utiliser pour d’autres finalités.
168. S’agissant du manquement relatif à l’obligation de prévoir un accord entre les responsables conjoints de traitement, la formation restreinte considère que le fait de ne pas avoir encadré avec plus de précision les traitements réalisés conjointement avec d’autres acteurs a privé les personnes concernées de la pleine protection de leurs données à caractère personnel offerte par le RGPD. 
169. Deuxièmement, la formation restreinte estime qu’il convient de faire application du critère prévu à l’alinéa k) de l’article 83, paragraphe 2, du RGPD relatif aux avantages financiers obtenus du fait du manquement.
170. Elle rappelle ainsi que le modèle économique de la société repose exclusivement sur sa capacité à afficher aux internautes les publicités les plus pertinentes pour promouvoir les produits de ses clients annonceurs, et donc sur son aptitude à collecter et à traiter une immense quantité de données à caractère personnel.
171. Or il ressort de la présente procédure que cette collecte et le traitement en cause se font en violation des exigences du RGPD et des droits des personnes concernées dès lors qu’il est reproché à la société de ne pas être en mesure de démontrer que ces dernières ont donné leur consentement au traitement de leurs données et qu’il est établi, dans certains cas, que la société traitait des données pour lesquelles les personnes concernées n’avaient pas consenti ou n’avaient pas donné un consentement valable.
172. Ainsi, les données à caractère personnel collectées et traitées sans consentement valable des personnes ont permis à la société d’augmenter indûment le nombre de personnes concernées par ses traitements et donc ses revenus financiers.
173. La formation restreinte ajoute que la société a également tiré un avantage financier du fait de ne pas procéder à l’effacement des données en continuant à utiliser les données qui ne sont pas effacées à des fins d’amélioration de ses technologies, ce qui participe à sa compétitivité sur le marché de la publicité ciblée.
174. En conséquence, la formation restreinte considère qu’il y a lieu de prononcer une amende administrative pour les manquements aux articles 7, 12, 13, 15, 17 et 26 du RGPD.