AgentPublic/cnil huggingface dataset:
201. La formation restreinte considère donc que le dépôt et la lecture de ces cookies sur le terminal de l’utilisateur nécessitent que l’utilisateur donne son consentement préalable, dans les conditions prévues par l’article 82 de la loi Informatique et Libertés, telles qu’éclairées par l’article 4, paragraphe 11, du RGPD.
202. La formation restreinte rappelle qu’elle a, à plusieurs reprises, adopté des sanctions pécuniaires pour manquement à l’article 82 de la loi Informatique et Libertés concernant le dépôt de cookies dont le recueil préalable du consentement est obligatoire, sur les terminaux des utilisateurs, avant toute action de leur part, sans recueil préalable de leur consentement (notamment délibérations SAN-2022-023 du 19 décembre 2022, SAN-2022-025, SAN-2022-026 et SAN-2022-027 du 29 décembre 2022).
203. En conséquence, la formation restreinte considère que les faits précités constituent un manquement à l’article 82 de la loi Informatique et Libertés pour les faits relevés au jour des contrôles, dès lors que des cookies soumis au recueil préalable du consentement étaient déposés sur le terminal des utilisateurs, avant toute action de leur part, sans leur consentement. 
204. La formation restreinte relève qu’au cours de la procédure, la société X a indiqué s’être mise en conformité avec les exigences de l’article 82 de la loi Informatique et Libertés puisqu’elle ne dépose plus de cookie non indispensable au fonctionnement du site web [...].
205. En troisième lieu, la rapporteure relève que, lors du contrôle sur place du 15 juillet 2021, la délégation de contrôle a constaté que le bandeau cookies présent sur le site web […] ne permettait pas de refuser les cookies aussi simplement que de les accepter.
206. En défense, la société fait valoir que son bandeau cookies comportera prochainement un bouton " refuser ".
207. La formation restreinte estime que, pour garantir la liberté du consentement, il devrait en l’espèce être aussi facile de refuser les cookies que de les accepter. 
208. À titre d’éclairage, la formation restreinte indique que dans les lignes directrices relatives à l’application de l’article 82 de la loi Informatique et Libertés aux opérations de lecture et écriture dans le terminal d’un utilisateur, la Commission précise que " l’expression du refus de l’utilisateur ne doit donc nécessiter aucune démarche de sa part ou doit pouvoir se traduire par une action présentant le même degré de simplicité que celle permettant d’exprimer son consentement ".
209. La formation restreinte relève que, tel qu’il ressort des constatations effectuées lors du contrôle sur place du 15 juillet 2021, lorsqu’un utilisateur se rendait sur le site web […], il pouvait accepter le dépôt de cookies, soumis au recueil préalable du consentement, en une seule action, en cliquant sur le bouton intitulé " J’accepte " figurant sur le bandeau cookies.
210. Elle relève qu’en revanche, pour refuser ces cookies, l’utilisateur devait effectuer pas moins de cinq actions : cliquer sur le bouton " Changer mes préférences " afin d’accéder à l’interface de gestion des cookies (premier clic), cliquer sur les onglets " Cookies de fonctionnalité " (deuxième clic), " Cookies de suivi et de performance " (troisième clic), " Cookies de ciblage et de publicité " (quatrième clic) afin d’effectuer un choix sur le dépôt de ces cookies, cliquer sur le bouton " Sauvegarder mes préférences " (cinquième clic).
211. La formation restreinte considère qu’il n’était donc pas aussi simple de refuser les cookies que de les accepter et que le fait de rendre le mécanisme de refus des cookies plus complexe que celui consistant à les accepter revient en réalité à décourager les utilisateurs de refuser les cookies et à les inciter à privilégier la facilité du bouton " Tout accepter ". En effet, un utilisateur d’Internet est généralement conduit à consulter de nombreux sites. La navigation sur Internet se caractérise par sa rapidité et sa fluidité. Le fait de devoir cliquer sur " Changer mes préférences " et de devoir comprendre la façon dont est construite la page permettant de refuser les cookies est susceptible de décourager l’utilisateur, qui souhaiterait pourtant refuser le dépôt des cookies. Il n’est pas contesté qu’en l’espèce, la société offrait un choix entre l’acceptation ou le refus des cookies avant l’insertion du bouton " Tout refuser ", mais les modalités par lesquelles ce refus pouvait être exprimé, dans le contexte de la navigation sur Internet, biaisait l’expression du choix en faveur du consentement de façon à altérer la liberté de choix.
212. La formation restreinte souligne qu’elle a, à plusieurs reprises, adopté des sanctions pécuniaires pour manquement à l’article 82 de la loi Informatique et Libertés dans des cas où il n’était pas aussi simple pour les utilisateurs de refuser les cookies que de les accepter. Elle a notamment retenu dans des délibérations SAN-2022-023 du 19 décembre 2022 et SAN-2022-027 du 29 décembre 2022 que " le fait de rendre le mécanisme de refus des cookies plus complexe que celui consistant à les accepter revient en réalité à décourager les utilisateurs de refuser les cookies et à les inciter à privilégier la facilité du bouton " Accepter ". En effet, un utilisateur d’Internet est généralement conduit à consulter de nombreux sites. La navigation sur Internet se caractérise par sa rapidité et sa fluidité. Le fait de devoir cliquer sur " Plus d’options " et de devoir comprendre la façon dont est construite la page permettant de refuser les cookies est susceptible de décourager l’utilisateur, qui souhaiterait pourtant refuser le dépôt des cookies. Il n’est pas contesté qu’en l’espèce, la société offrait un choix entre l’acceptation ou le refus des cookies avant l’insertion du bouton " Tout refuser ", mais les modalités par lesquelles ce refus pouvait être exprimé, dans le contexte de la navigation sur internet, biaisait l’expression du choix en faveur du consentement de façon à altérer la liberté de choix " (également dans les délibérations SAN-2021-023 et SAN-2021-024 du 31 décembre
213. La formation restreinte note qu’au jour de la séance de la formation restreinte, lors de l’accès au site web [...], le bandeau cookies présent sur le site web comportait un bouton " Je refuse ".
214. Par conséquent, la formation restreinte considère qu’un manquement aux dispositions de l’article 82 de la loi Informatique et Libertés, interprétées à la lumière du RGPD, est constitué, dans la mesure où, au moment du contrôle en ligne et jusqu’à la mise en place du bouton " Tout refuser ", l’utilisateur n’avait pas la possibilité de refuser les opérations de lecture et/ou d’écriture avec le même degré de simplicité qu’il avait de les accepter.
III. Sur la sanction et la publicité
215. Aux termes du III de l’article 20 de la loi Informatique et Libertés :
" Lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l'informatique et des libertés peut également, le cas échéant après lui avoir adressé l'avertissement prévu au I du présent article ou, le cas échéant en complément d'une mise en demeure prévue au II, saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l'une ou de plusieurs des mesures suivantes : […]
7° À l'exception des cas où le traitement est mis en œuvre par l'État, une amende administrative ne pouvant excéder 10 millions d'euros ou, s'agissant d'une entreprise, 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l'article 83 du règlement (UE) 2016/679 du 27 avril 2016, ces plafonds sont portés, respectivement, à 20 millions d'euros et 4 % dudit chiffre d'affaires. La formation restreinte prend en compte, dans la détermination du montant de l'amende, les critères précisés au même article 83 ".
216. L’article 83 du RGPD prévoit que " Chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour des violations du présent règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives ", avant de préciser les éléments devant être pris en compte pour décider s'il y a lieu d’imposer une amende administrative et pour décider du montant de cette amende.
217. En premier lieu, sur le principe du prononcé d’une amende, la société insiste en défense sur la responsabilité de son sous-traitant concernant les manquements relatifs à la sécurité et l’origine de l’incident de sécurité. Elle indique que les données qui ont été potentiellement accessibles ne concernent pas des données hautement personnelles ou des données sensibles. Par ailleurs, elle conteste le nombre de personnes concernées, sans pour autant communiquer une volumétrie. 
218. Elle rappelle également l’absence de plaintes et considère que certains manquements sont peu préjudiciables pour les personnes concernées, notamment les manquements aux articles 12 et 28 du RGPD. Elle met également l’accent sur les efforts qu’elle a engagés pour se mettre en conformité à la suite de la notification du rapport.
219. La formation restreinte rappelle, d’abord, qu’elle doit tenir compte, pour le prononcé d’une amende administrative, des critères précisés à l’article 83 du RGPD, tels que la nature, la gravité et la durée de la violation, les mesures prises par le responsable du traitement pour atténuer le dommage subi par les personnes concernées, le degré de coopération avec l’autorité de contrôle et les catégories de données à caractère personnel concernées par la violation.
220. La formation restreinte relève, en outre, le nombre particulièrement élevé de manquements : neuf manquements au titre du RGPD (articles 5-1-c), 5-1-e), 6, 9, 12 et 13, 28, 32, 33) et un manquement au titre de la loi Informatique et Libertés (article 82). La société a ainsi fait preuve de multiples défaillances puisque les manquements constitués concernent une grande partie des règles relatives à la protection des données à caractère personnel, dont des obligations fondamentales du responsable du traitement (minimisation des données, limitation de la durée de conservation des données et d’accessibilité de l’information, licéité du traitement). 
221. À titre d’exemple, l’enregistrement intégral et systématique de l’ensemble des appels téléphoniques passés entre les téléopérateurs et les prospects, ainsi qu’entre les voyants et les clients, à des fins de contrôle de la qualité du service et de preuve, constitue une pratique particulièrement intrusive pour les personnes concernées.
222. Par ailleurs, la société ne respectait pas l’article 82 de la loi Informatique et Libertés sur plusieurs aspects : défaut d’information, absence de consentement au dépôt de cookies non exemptés de consentement et déséquilibre entre les modalités offertes à l’utilisateur pour accepter ou refuser le dépôt de cookies sur son terminal. Ces faits constituent une atteinte substantielle au droit au respect à la vie privée et à la protection des données à caractère personnel des personnes concernées. 
223. La formation restreinte rappelle également, à titre d’illustration, que la société n’a pas notifié à la CNIL la violation de données alors qu’elle disposait de l’ensemble des éléments permettant de vérifier son existence et qu’elle a identifié comme conséquence probable de celle-ci, la prospection commerciale non consentie. 
224. La formation restreinte note, ensuite, que certains manquements concernent des catégories particulières de données soumises à un régime juridique strict (données de santé, informations sur l’orientation sexuelle) et des données hautement personnelles (données bancaires) devant faire l’objet d’une vigilance accrue compte tenu du risque de fraude.
225. La formation restreinte rappelle, également, qu’en qualité de responsable du traitement, la société est tenue de respecter ses obligations prévues au RGPD. Elle est notamment tenue d’exercer un contrôle satisfaisant et régulier sur les mesures techniques et organisationnelles mises en œuvre par son sous-traitant pour assurer la conformité au RGPD et notamment pour assurer la sécurité des données à caractère personnel traitées.
226. À cet égard, la formation restreinte relève que plusieurs mesures de sécurité élémentaires faisaient défaut en l’espèce, entrainant un risque pour les personnes concernées. La formation restreinte rappelle que les différents documents encadrant les relations contractuelles entre la société et ses sous-traitants ne comportent pas l’ensemble des mesures requises par l’article 28 du RGPD et certains documents ne sont pas signés par les prestataires. Ces faits ne sont pas de nature à assurer une protection efficace des données à caractère personnel traités par le biais de garanties contractuelles. 
227. Enfin, la formation restreinte relève que les mesures de conformité qui ont été mises en place par la société à la suite de la notification du rapport, notamment concernant les cookies, n’exonère pas l’organisme de sa responsabilité pour les manquements constatés pour le passé.
228. En conséquence, la formation restreinte considère qu’il y a lieu de prononcer une amende administrative pour les manquements aux articles 5-1-c) et e), 6, 9, 12, 13, 28, 32 et 33 du RGPD et à l’article 82 de la loi Informatique et Libertés.
229. En deuxième lieu, s’agissant du montant de l’amende, l’organisme insiste en défense sur le caractère déficitaire de son résultat net. 
230. La formation restreinte considère que la situation financière de l’organisme doit être notamment prise en compte pour la détermination de la sanction et, en cas d’amende administrative, de son montant. Elle relève à ce titre qu’en 2020, le chiffre d’affaires net de la société X s’élevait à […] euros et son résultat net déficitaire était de […] euros. La société a précisé, à titre indicatif, lors de la séance de formation restreinte que son chiffre d’affaires projeté, de janvier à août 2022, est d’environ […] euros, soit environ […] euros sur l’année 2022. 
231. Dès lors, au regard des critères pertinents de l’article 83, paragraphe 2, du RGPD évoqués ci-avant, la formation restreinte considère comme justifié le prononcé d’une amende administrative d’un montant de 150 000 euros se répartissant comme suit : 120 000 euros pour les manquements au RGPD et 30 000 euros pour le manquement à la loi Informatique et Libertés. 
232. En troisième lieu, s’agissant de la publicité de la sanction, l’organisme soutient qu’une telle mesure lui serait préjudiciable d’un point de vue économique.
233. La formation restreinte considère que, au regard de la pluralité des manquements relevés, de leur gravité, de la nature particulière des données traitées et du nombre de personnes concernées, la publicité de la présente décision est justifiée. 
 
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide de :
- prononcer à l’encontre de la société X une amende administrative d’un montant de 120 000 (cent-vingt mille) euros pour manquements aux articles 5-1-c) et e), 6, 9, 12, 13, 28, 32 et 33 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données et d’un montant de 30 000 (trente mille) euros pour manquement à l’article 82 de la loi Informatique et Libertés ;
- rendre publique, sur le site de la CNIL et sur le site de Légifrance, sa délibération, qui n’identifiera plus nommément la société X à l’expiration d’un délai de deux ans à compter de sa publication.
 Le président
 Alexandre LINDEN
Cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’État dans un délai de deux mois à compter de sa notification.
La Commission nationale de l'informatique et des libertés,
Saisie par l’Agence nationale de santé publique d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité une étude portant sur la santé de la population riveraine du bassin industriel de Lacq ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 66, 72 et suivants ;
Vu l’avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la Santé du 15 décembre 2022 ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Valérie PEUGEOT, commissaire, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable de traitement
Le responsable de traitement de cette étude est l’Agence nationale de santé publique (ANSP).
Sur les sous-traitants
La société IPSOS interviendra dans la mise en œuvre de cette étude en tant que sous-traitant.
Le traitement des données par ce sous-traitant devra être régi par un contrat ou un acte juridique conformément à l’article 28 du règlement général sur la protection des données (RGPD).
Sur les catégories de personnes concernées par l’étude
Sous réserve de l’exercice du droit d’opposition, seront incluses dans la présente étude les personnes affiliées au régime d’assurance maladie général ou agricole, résidant habituellement depuis au moins six mois dans la zone d’étude.
Sur la finalité du traitement et son caractère d’intérêt public
Le traitement envisagé a pour finalité la mise en œuvre d’une étude portant sur la santé de la population riveraine du bassin industriel de Lacq.
Plus précisément, cette étude est destinée à :
décrire les indicateurs de santé perçue et qualité de vie et d’anxiété généralisée ;
décrire la prévalence des symptômes et des maladies chroniques rapportés par les personnes interrogées ;
décrire les expositions perçues aux pollutions du bassin industriel ainsi que les gênes qu’elles provoquent chez les riverains ;
étudier la relation entre les indicateurs de santé et les expositions perçues aux pollutions du bassin industriel.
La finalité du traitement est déterminée, explicite et légitime, conformément à l’article 5.1.b du RGPD et ce traitement présente une finalité d’intérêt public, conformément à l’article 66.I de la loi n° 78-17 du 6 janvier 1978 (loi "informatique et libertés").
Sur la licéité du traitement et les conditions permettant de traiter des données concernant la santé
Le traitement mis en œuvre par l’ANSP est nécessaire à l’exécution de la mission d’intérêt public dont elle est investie.
Ce traitement est, à ce titre, licite au regard de l’article 6.1.e du RGPD. En outre, ce traitement, nécessaire à des fins de recherche scientifique, remplit également la condition prévue à l’article 9.2.j du RGPD permettant de traiter des données concernant la santé.
Ce projet de recherche est soumis aux dispositions des articles 44.3°, 66.III et 72 et suivants de la loi "informatique et libertés", qui prévoient, en l’absence de conformité à une méthodologie de référence, que les traitements à des fins de recherche, d’étude ou d’évaluation dans le domaine de la santé ne peuvent être mis en œuvre qu’après autorisation de la Commission.
Sur les points de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception de la nature des données traitées et des destinataires des données directement identifiantes.
En dehors de ces exceptions, ce traitement devra respecter le cadre prévu par la méthodologie de référence MR-004.
Réutilisation des données de bases existantes
Les données réutilisées dans le cadre de cette étude proviendront de :
la Caisse primaire d’assurance maladie de Pau-Pyrénées (CPAM) ;
de la mutualité sociale agricole Sud Aquitaine (MSA).
Le tirage au sort sera réalisé par la CPAM et la MSA à partir de leurs bases de données. Seules les données strictement nécessaires et pertinentes au regard des objectifs du traitement devront être transmises par la CPAM et la MSA :
à l’ANSP pour la fusion des deux bases de la CPAM et de la MSA et le contrôle des données collectées. Cette base de données ne contiendra ni de données directement identifiantes, ni de données relatives à la santé des bénéficiaires ;
à la société IPSOS afin qu’elle puisse contacter les personnes tirées au sort afin de participer à la présente étude. Cette base de données ne contiendra aucune donnée relative à la santé des bénéficiaires
À cet égard, les filtrages seront réalisés en amont de cette transmission par les organismes.
Sur les catégories particulières de données traitées
S’agissant de la collecte des données nominatives et des coordonnées postales, électroniques et téléphoniques :
La collecte des nom, prénoms, ainsi que des coordonnées (postales, électroniques et téléphoniques) des personnes est nécessaire pour :
réaliser l’information des participants ;
assurer le suivi des participants au cours de l’étude ;
adresser à ces derniers les résultats les concernant à la fin de l’étude, s’agissant de leur imprégnation aux pollutions liées au bassin industriel de Lacq.
Les participants en sont informés.
Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourront accéder aux données directement identifiantes.
Les courriers électroniques adressés aux participants ne devront révéler aucune information sur l’état de santé réel ou supposé du participant.
S’agissant des zones de commentaires libres :
Les données contenues dans des zones "commentaires" doivent, comme toute donnée à caractère personnel enregistrée dans un traitement et appelée à y être conservée, être pertinentes, adéquates et non excessives au regard de la finalité du traitement. Les données contenues dans ces zones de texte libre doivent être communiquées aux personnes exerçant leur droit d’accès.
Sur l’information et les droits des personnes
S’agissant des modalités d’information :
À titre liminaire, les nom, prénoms, et les coordonnées (postales, électroniques et téléphoniques) seront collectées et traitées à l’issue d’un tirage au sort pour la participation à l’étude à partir des données issues de la CPAM et de la MSA.
S’agissant des personnes susceptibles d’être tirées au sort :
En application de l'article 69 de la loi "informatique et libertés" et de l’article 14-5-b) du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.
En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre. Afin de tenir compte des spécificités locales, une communication autour de l’enquête, sera mise en œuvre au moyen d’un communiqué de presse auprès des journaux locaux.
Par ailleurs, une note d’information collective sera publiée sur le site web du responsable de traitement, comportant l’ensemble des mentions prévues par le RGPD.
Ces modalités d’information seront réalisées avant la constitution des bases de données par la CPAM et la MSA permettant la réalisation du tirage au sort.
S’agissant des personnes tirées au sort :
À l’issue du tirage au sort, tous les participants recevront une note d’information individuelle par voie postale.
S’agissant des participants mineurs :