AgentPublic/cnil huggingface dataset:
167. La formation restreinte considère que le traitement, à l’égard duquel la société a commis de nombreux manquements à l’article 82 de la loi Informatique et Libertés, présente un caractère massif. Elle relève à cet effet que la société a indiqué à la délégation de contrôle que le site web " shein.com " a reçu plus de 20 millions de visites en provenance du territoire français entre les mois de janvier et juillet 2023. Elle relève que la société a ensuite déclaré au rapporteur qu’elle estime qu’en moyenne, environ 12 millions de visiteurs uniques par mois se sont rendus sur son site web pendant cette période. La formation restreinte observe que ce volume de visiteurs, pour un seul mois, reflète la place centrale occupée par la société dans le secteur de la vente en ligne de prêt-à-porter en France.
168. En deuxième lieu, la formation restreinte estime qu’il convient de tenir compte du critère prévu à l’article 83, paragraphe 2, b) et e) du RGPD, relatif au fait que la violation ait été commise délibérément ou par négligence.
169. La formation restreinte relève que les sociétés spécialistes dans la vente en ligne de prêt-à-porter, dont la société est l’un des leaders en France, ont pour pratique courante de recourir aux cookies. Dans ces conditions, elle estime que la société a fait preuve de négligence en ne respectant pas ses obligations au titre de l’article 82 de la loi Informatique et Libertés. La formation restreinte considère que la société ne pouvait pas les ignorer. Elle rappelle que la CNIL a accompagné les acteurs en matière de cookies en rendant publique une recommandation rappelant les principes qu’il convenait de respecter pour permettre l’utilisation des cookies, tout en respectant la loi " Informatique et Libertés " et que dans ses lignes directrices du 4 juillet 2019, la CNIL rappelait que les opérateurs devaient en particulier respecter le caractère préalable du consentement au dépôt de traceurs. La formation restreinte rappelle également avoir déjà sanctionné à de nombreuses reprises des organismes pour non-respect de l’obligation de recueillir le consentement de l’utilisateur avant toute action de lecture et/ou d’écriture (délibération n° SAN-2020-012 du 7 décembre 2020 validée par le Conseil d’État dans sa décision n° 44209 du 28 janvier 2022 ; délibération n° SAN-2020-013 du 7 décembre 2020 validée par le Conseil d’État dans sa décision n° 451423 du 27 juin 2022).
170. En troisième lieu, la formation restreinte estime qu’il convient de faire application du critère prévu à l’alinéa k) du paragraphe 2 de l’article 83 du RGPD, relatif aux avantages financiers obtenus du fait du manquement.
171. La formation restreinte note que si l’activité principale de la société réside dans la vente de prêt-à-porter, la personnalisation des annonces, rendue possible par les cookies, permet justement d’augmenter considérablement la visibilité de ces biens et d’augmenter la probabilité qu’ils soient achetés. Or, en déposant les cookies publicitaires avant que les personnes y consentent et en ne leur délivrant pas d’informations de manière claire et complète, la société réduit le risque que ces cookies soient refusés.
172. Elle relève également que les cookies " _pinterest_ct_ua " et " _pin_unauth " permettent à la société d’identifier les utilisateurs qui arrivent sur le site web " shein.com " depuis un lien présent sur le site web pinterest. Elle considère que cette analyse de campagne marketing permet à la société d’optimiser ses dépenses allouées au marketing.
173. En conséquence, la formation restreinte estime, au vu de l’ensemble de ces éléments et au regard des critères fixés à l’article 83 du RGPD, qu’il y a lieu de prononcer une amende administrative au titre du manquement en cause.
2. Sur le montant de l’amende administrative
174. En défense, la société conteste la prise en compte du chiffre d’affaires de sa maison mère comme assiette du calcul de l’amende, alors qu’elle n’est pas partie à la procédure, ni responsable du traitement en cause. Elle estime qu’il résulte de la jurisprudence de la CJUE que ce chiffre d’affaires ne peut être utilisé que pour apprécier si la sanction envisagée est susceptible de dépasser le plafond légal maximum de l’amende et non pour calculer son montant.
175. La formation restreinte relève qu’en application des dispositions de l’article 20-IV-7° de la loi Informatique et Libertés, elle peut prononcer à l’encontre d’un responsable du traitement ayant commis les manquements constatés, une " amende administrative ne pouvant excéder 10 millions d’euros ou, s’agissant d’une entreprise, 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu ". Elle rappelle ensuite que les amendes administratives doivent être dissuasives et proportionnées, au sens de l’article 83, paragraphe 1, du RGPD.
176. La formation restreinte considère qu’en visant le RGPD à l’article 20 de la loi Informatique et Libertés, le législateur français a fait le choix d’harmoniser les règles relatives à la détermination du montant des amendes en matière de protection des données à caractère personnel, que l’amende ait vocation à sanctionner un manquement au titre du RGPD ou de la loi Informatique et Libertés. La formation restreinte relève en outre que compte tenu de la proximité entre le RGPD et la directive ePrivacy, il est cohérent que les règles régissant l’imposition d’amendes aux organismes soient uniformes qu’il s’agisse d’un manquement trouvant son origine dans le RGPD ou dans la directive ePrivacy.
177. Elle considère qu’il convient donc en l’espèce de recourir à la notion d’" entreprise " en droit de la concurrence, en vertu de la référence directe et explicite opérée à cette notion par le considérant 150 du RGPD ainsi que par les lignes directrices sur l’application et la fixation des amendes administratives aux fins du règlement 2016/679. Elle souligne en effet que dans des arrêts rendus au titre du RGPD, la CJUE a confirmé que la notion d’ " entreprise " contenue à l’article 83 du RGPD devait bien s’appréhender au regard du droit de la concurrence, régit par les articles 101 et 102 du TFUE (CJUE, grande chambre, 5 décembre 2023, C-807/21 et CJUE, cinquième chambre, 13 février 2025, C-383/23).
178. S’agissant ensuite de ce que recouvre la notion d’" entreprise ", la formation restreinte relève que dans son arrêt précité du 5 décembre 2023, la CJUE retient qu’une entreprise est une unité économique, même si du point de vue juridique cette unité économique est constituée de plusieurs personnes morales. La CJUE précise qu’à l’instar du droit de la concurrence (Cour de Cassation, ch. com., 7 juin 2023, pourvoi n° 22-10.545 ; Autorité de la concurrence, décisions n° 21-D-10 du 3 mai 2021 et n° 21-D-28 du 9 décembre 2021), lorsqu’une filiale est détenue directement ou indirectement à 100% par sa maison mère, il existe une présomption réfragable selon laquelle la maison mère exerce une influence déterminante sur le comportement de la société. Pour déterminer le montant de l’amende envisagée, et qu’il corresponde à la capacité économique réelle de son destinataire, il convient alors, selon les deux arrêts précités, si les deux sociétés peuvent matériellement être regardées comme relevant de la même unité économique, de prendre en compte le chiffre d’affaire de la maison mère afin que l’amende soit effective, proportionnée et dissuasive.
179. En l’espèce, la formation restreinte rappelle que la société ROADGET BUSINESS PTE LTD détient à 100% la société INFINITE STYLES SERVICES CO LIMITED et considère ainsi, à l’instar du droit de la concurrence, qu’il existe une présomption selon laquelle la société ROADGET BUSINESS PTE LTD exerce une influence déterminante sur le comportement de la société INFINITE STYLES SERVICES CO LIMITED sur le marché (CJUE, grande chambre, 5 décembre 2023, C-807/21 ; également CJUE, troisième chambre, 10 septembre 2009, Akzo C 97/08 P, paragraphes 58 à 61. Voir également, pour l’application de la présomption d’influence déterminante en cas de détention en chaîne : CJUE, Eni c/ Commission, 8 mai 2013 (C-508/11 P, § 48). Par conséquent, les sociétés ROADGET BUSINESS PTE LTD et INFINITE STYLES SERVICES CO LIMITED constituent une seule entité économique et forment donc une seule entreprise au sens de l’article 101 du TFUE.
180. Compte tenu de ce qui précède, la formation restreinte considère qu’il y a lieu de retenir le chiffre d’affaires de l’entreprise au sens d’" unité économique ", à savoir celui de la maison mère du groupe. Elle rappelle qu’en 2023 le chiffre d’affaires de la société ROADGET BUSINESS PTE LTD était de […] dollars (soit environ […] d’euros) et ses bénéfices de […] dollars (soit environ […] d’euros) selon le cours EUR/USD en 2023.
181. S’agissant du montant de l’amende qui doit être proportionnée et dissuasive, au regard des responsabilités et capacités financières des sociétés et des critères pertinents de l’article 83 du RGPD la formation restreinte considère qu’apparait adapté de prononcer à l’encontre de la société INFINITE STYLES SERVICES CO. LIMITED une amende administrative d’un montant de 150 000 000 euros, au regard du manquement constitué à l’article 82 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés.
B. Sur le prononcé d’une injonction 
182. Dans son rapport initial, le rapporteur a proposé à la formation restreinte de prononcer une injonction de mettre en conformité le traitement avec les dispositions de l’article 82 de la loi Informatique et Libertés, assortie d’une astreinte d’un montant de 100 000 euros par jour de retard et liquidable à l’issue d’un délai de deux mois à compter de la notification de la délibération.
183. En défense, la société soutenait que le prononcé d’une injonction est sans objet, dès lors qu’elle a déployé des mesures de mise en conformité en cours de procédure.
184. Compte tenu des modifications effectuées par la société au cours de la procédure, le rapporteur a considéré, dans sa réponse, qu’il n’y avait plus lieu de proposer à la formation restreinte de prononcer une injonction.
185. Compte tenu des éléments développés ci-avant, la formation restreinte considère qu’il n’y a en effet pas lieu de prononcer d’injonction.
C. Sur la publicité de la sanction
186. En défense, la société soutient que la publicité de la sanction n’est pas justifiée. Elle considère notamment que la publication de la sanction serait dépourvue d’effet auprès des utilisateurs, compte tenu des mesures qu’elle a prises pour remédier au manquement. Par ailleurs, selon la société, une publicité entraînerait des conséquences importantes en termes de réputation.
187. Elle demande à la formation restreinte, dans le cas où celle-ci déciderait de rendre sa délibération publique, de l’anonymiser.
188. La formation restreinte considère qu’une telle mesure de publicité se justifie au regard de la gravité avérée du manquement en cause, de la position de la société sur le marché et du nombre de personnes concernées, lesquelles doivent être informées.
189. Elle estime en outre que cette mesure apparait proportionnée dès lors que la décision n’identifiera plus nommément la société à l’issue d’un délai de deux ans à compter de sa publication.
 
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide :
- de prononcer à l’encontre de la société INFINITE STYLES SERVICES CO. LIMITED, une amende administrative d’un montant de cent cinquante millions d’euros (150 000 000 €) au regard du manquement constitué à l’article 82 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique ;
- de rendre publique, sur le site de la CNIL et sur le site de Légifrance, sa délibération, qui n’identifiera plus nommément la société à l’expiration d’un délai de 2 ans à compter de sa publication.
Le Vice-Président
Vincent LESCLOUS
Cette décision peut faire l’objet d’un recours devant le Conseil d’Etat dans un délai de quatre mois à compter de sa notification.
La Commission nationale de l'informatique et des libertés,
Saisie par le ministère de l’économie, des finances et de la souveraineté industrielle et numérique d’une demande d’avis concernant un projet de décret relatif aux modalités techniques de résiliation et de dénonciation des contrats et règlements par voie électronique ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ; 
Vu la loi n° 78-17 du 6 janvier 1978 modi 8.I.4.a fiée relative à l’informatique, aux fichiers et aux libertés, notamment son article ;
Vu la loi n° 2022-1158 du 16 août 2022 portant mesures d’urgence pour la protection du pouvoir d’achat, notamment son article 17 ;
Sur la proposition de M. Philippe-Pierre CABOURDIN commissaire, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
 
Emet l’avis suivant :
 
La Commission a été saisie par le ministère de l’économie, des finances et de la souveraineté industrielle et numérique d’un projet de décret relatif aux modalités techniques de résiliation et de dénonciation des contrats et règlements par voie électronique.
L’article 17 de la loi n° 2022-1158 du 16 août 2022 portant mesures d’urgence pour la protection du pouvoir d’achat prévoit une obligation pour les organismes d’assurance, de mutuelle et de prévoyance, de mettre à disposition de leurs assurés et souscripteurs un système de résiliation en ligne simplifié de leurs contrats ou règlements. Ces dispositions ne créent pas de nouveaux droits légaux à la résiliation de contrat d’assurance. 
 
Cette obligation concerne l’ensemble des contrats portant sur la couverture des personnes physiques en dehors de leurs activités professionnelles directement ou par l’intermédiaire de personnes morales lorsque le contrat concerné couvre les personnes physiques en dehors de telles activités. Ce dispositif doit être mis en place par les professionnels concernés du secteur de l’assurance dès lors qu’ils offrent la possibilité de conclure des contrats par voie électronique ; cette modalité de résiliation ou de dénonciation pourra donc être utilisée indépendamment du fait que le contrat en cause ait été souscrit par voie électronique ou non. 
 
Le projet de décret, objet de la présente saisine, fixe les modalités d’accès et d’utilisation de la fonctionnalité de résiliation et de dénonciation des contrats ou des règlements par voie électronique, en application de l’article 17 de la loi n° 2022-1158 du 16 août 2022.
Il prévoit qu’à partir du 1er juin 2023 au plus tard, les assureurs mettent à disposition des souscripteurs, adhérents ou des membres participants, une fonctionnalité de résiliation ou de dénonciation du contrat directement et facilement accessible à partir de leur interface en ligne. Il mentionne ensuite les informations permettant d’identifier le souscripteur, l’adhérent ou le membre participant, de formuler la demande et de recevoir la notification de la résiliation ou de la dénonciation. 
 
Sur les modalités d’identification du demandeur 
 
Les projets d’articles D. 113-7 du code des assurances, D. 221-1 du code de la mutualité et D. 932-6 et D. 932-7 du code de la sécurité sociale consacrent des modalités similaires d’identification du demandeur à la résiliation ou à la dénonciation du contrat. Ces dispositions prévoient que peuvent être collectés, aux fins d’identification du demandeur et de précision de la demande de résiliation ou de dénonciation : 
 
le nom et prénom du demandeur personne physique, la raison sociale ou la dénomination sociale dans le cas d’une personne morale et tout autre élément strictement nécessaire permettant d’identifier le demandeur ainsi qu’un moyen de contact afin que l’assureur puisse lui confirmer la réception de la notification de la résiliation ou de la dénonciation sur un support durable ;
toute référence préalablement communiquée au demandeur pour identifier celui-ci et le contrat concerné (par exemple, le numéro de contrat et le risque couvert) ; 
le motif de la résiliation ou de la dénonciation à choisir parmi une liste ; 
la date de l’événement donnant lieu à résiliation. 
 
En premier lieu, s’agissant de la collecte de "tout autre élément strictement nécessaire" permettant d’identifier le demandeur, le ministère a précisé que ces éléments permettront notamment de distinguer entre plusieurs assurés dans des situations d’homonymie ou de compléter les critères de recherche de l’assureur dans le cas où les informations initialement communiquées ne seraient pas suffisantes. La Commission prend acte de ce que cette collecte ne peut avoir lieu que dans le cas où la résiliation ou la dénonciation ne s’effectue pas depuis l’espace en ligne personnalisé du demandeur, où son identité est déjà vérifiée.
En deuxième lieu, la Commission relève que, s’agissant du motif de la résiliation ou de la dénonciation, les personnes concernées pourront sélectionner le fondement "autres" afin d’indiquer un autre motif que ceux déjà prédéterminés. Les zones de saisie de texte libre favorisent le risque de renseigner des commentaires inappropriés ou non pertinents en lien avec la vie privée des personnes concernées. A cet égard, si le ministère décidait de maintenir cette zone de saisie de texte libre, la Commission rappelle qu’il est nécessaire de mettre en œuvre des mesures afin de limiter l’enregistrement aux données strictement nécessaires à l’instruction du dossier (limitation du nombre de caractères, mention spécifique destinée aux utilisateurs pour les sensibiliser, suppression rapide des données non pertinentes, etc.). 
 
En troisième lieu,
la création d’un espace en ligne personnalisé ne devrait pas être imposée pour la résiliation ou la dénonciation du contrat en ligne, sauf à prouver qu’il n’existe pas de moyen moins intrusif pour effectuer cette vérification de manière sécurisée. L’échange des informations nécessaires pourrait ainsi se faire via un formulaire "HTTPS" sécurisé permettant la collecte des données à caractère personnel nécessaires à la résiliation ou à la dénonciation du contrat.
Enfin, la Commission prend également acte de ce que les organismes d’assurance concernés n’ont pas vocation à demander des informations qu’ils n’auraient pas déjà collectées dans le cadre de la relation contractuelle. La Commission invite le ministère à rappeler ce principe dans le projet de décret.
 
Sur l’information des personnes concernées 
 
La Commission rappelle que les personnes concernées devront être informées, conformément aux articles 12 et 13 du règlement général sur la protection des données (RGPD). Cette information devra notamment préciser que les données à caractère personnel collectées ne seront utilisées qu’aux fins d’identifier le demandeur et de prendre en compte la demande de résiliation ou de dénonciation, et la durée de conservation des données ainsi communiquées. 
 
La Présidente
 
 
M.-L. DENIS
N° de demande d'avis : 25003703
			Thématiques : règlement sur les services numériques, DSA, délégation de signature ; formation restreinte ; fournisseurs de plateforme numérique
Organisme(s) à l'origine de la saisine : Ministère de la justice
			Fondement de la saisine : Articles 13 et 20 de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés
L'essentiel :
1. La CNIL accueille favorablement le projet de modification du décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978. Ces modifications, d'une part, devraient permettre d'accélérer et fluidifier certaines de ses procédures internes et, d'autre part, tirent les conséquences de l'extension de ses pouvoirs vis-à-vis des fournisseurs de plateformes en ligne. Enfin, il organise la procédure d'injonction provisoire nouvellement créée.
2. Elle invite le Gouvernement à ménager la possibilité pour le mis en cause d'être entendu, dans le cadre de la procédure d'injonction provisoire. Elle prend acte de l'engagement du Gouvernement d'opérer une modification rédactionnelle dans cette procédure.
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
Vu le règlement (UE) 2022/2065 du Parlement européen et du Conseil du 19 octobre 2022 relatif à un marché unique des services numériques et modifiant la directive 2000/31/CE (règlement sur les services numériques) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ( loi informatique et libertés ), notamment ses articles 13 et 20 ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Après avoir entendu le rapport de Mme Marie-Laure Denis, présidente, et les observations de M. Damien Milic, commissaire du Gouvernement,
Adopte la délibération suivante :
I. - La saisine
La CNIL a été saisie par le ministère de la justice d'une demande d'avis concernant un projet de décret en Conseil d'Etat modifiant le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés.
La loi informatique et libertés a été modifiée par la loi n° 2024-449 du 21 mai 2024 visant à sécuriser et à réguler l'espace numérique (SREN) et l'ordonnance n° 2024-1019 du 13 novembre 2024 portant extension et adaptation en outre-mer des dispositions de la loi n° 2024-449 du 21 mai 2024 visant à sécuriser et à réguler l'espace numérique et du règlement européen 2022/2065 sur les services numériques.
Le projet de décret en tire les conséquences, et propose d'adapter certaines mesures liées à l'organisation interne de la CNIL.
II. - L'avis de la CNIL
Sur les articles 1 à 3 du projet de décret :
L'article 1er du projet de décret est relatif à la délégation de signature du président ou du vice-président au profit du secrétaire général de la CNIL. Ces délégations portent sur des mesures correctrices prévues au III de l'article 20 telles que les mises en demeure ou les rappels aux obligations légales. Le secrétaire général pourrait déléguer la signature de ces actes aux agents d'encadrement placés sous son autorité.
Enfin, l'article 3 permet de déléguer au Secrétaire général ou à tout agent d'encadrement la signature des ordres de mission des agents de la CNIL effectuant un contrôle.
Ces deux évolutions, suggérées au gouvernement par la CNIL, sont rendues nécessaires par la croissance du nombre de procédures et de mesures correctrices. Ainsi, alors qu'il y a quelques années le nombre de mises en demeure était environ de 40 (le rappel aux obligations légales n'existant pas), il s'est élevé en 2024 à 180 mises en demeure, complétées de 64 rappels aux obligations légales, tous signés par la présidente ou le vice-président. Ces chiffres ayant encore vocation à augmenter, parallèlement au nombre de réclamations et plaintes qui est passé de 7 300 l'année de la signature du RGPD à plus de 17 000 l'an dernier, il apparaît indispensable d'augmenter les délégations de signature.
L'article 2 abaisse le quorum de la formation restreinte de quatre à trois membres. Cette modification facilitera l'organisation des séances, dans un contexte où le nombre de procédures de sanction a été multiplié par quatre depuis l'entrée en vigueur de la procédure de sanction simplifiée, qui complète la procédure de sanction ordinaire.
Ces mesures sont donc accueillies très favorablement par la CNIL en ce qu'elles vont permettre de fluidifier ses procédures internes et réduire le temps administratif inhérent à celles- ci.
Sur l'article 4 du projet de décret :
Cet article introduit deux nouvelles procédures en lien avec le règlement sur les services numériques.