AgentPublic/cnil huggingface dataset:
119. La formation restreinte relève en outre que ce manquement concerne un nombre particulièrement important de personnes. Si les 25,7 millions de comptes de messagerie attribués à des particuliers enregistrés dans les systèmes de la société ne sont pas tous utilisés – la société indiquant que seuls 7,89 millions de comptes seraient concernés –, il convient de souligner que ce chiffre reste très élevé et que, faute de pouvoir refuser leur affichage, l’ensemble des personnes accédant au service " Mail Orange " à partir d’un navigateur ou de l’application Orange ont nécessairement été confrontées aux publicités en cause. 
120. S’agissant du manquement à l’article 82 de la loi Informatique et Libertés, la formation restreinte relève également sa particulière gravité dans la mesure où, en continuant à lire des cookies sur le terminal de l’utilisateur – permettant le traçage de sa navigation –, alors même que celui-ci a retiré son consentement, la société va à l’encontre du choix exprimé par ledit utilisateur, lequel pense légitimement que celui-ci a été pris en compte et ne peut ainsi supposer que la société et ses partenaires continuent à accéder à des informations stockées dans son terminal.
121. La formation restreinte note que toute personne visitant le site web orange.fr – les données publiquement disponibles faisant état de près de 23,5 millions de visiteurs uniques par mois – doit pouvoir, non seulement accepter ou refuser le dépôt et la lecture de cookies sur son terminal, mais également retirer, le cas échéant, le consentement donné, et voir cette décision respectée et pleinement effective. Si, en pratique, le nombre d’utilisateurs retirant leur consentement s’élève, selon la société, à quelques centaines par jour – environ 700 selon les chiffres transmis dans le cadre du contradictoire –, la formation restreinte relève, d’une part, que ce chiffre apparait dans l’absolu particulièrement élevé et qu’il correspond à plus de 250 000 personnes par an et que, d’autre part, c’est bien la pratique mise en œuvre par la société, laquelle ne permet pas d’assurer l’effectivité du retrait du consentement, qui est ici en cause. Il ne s’agit dès lors pas de sanctionner, comme le prétend la société, un manquement potentiel, mais bien une pratique généralisée susceptible d’affecter un nombre très important de personnes. 
122. Deuxièmement, la formation restreinte estime qu’il convient de tenir compte du critère prévu à l’article 83, paragraphe 2, b) du RGPD, relatif au fait que la violation ait été commise délibérément ou par négligence.
123. Ainsi qu’il a déjà été rappelé, la formation restreinte souligne que les règles relatives à la prospection commerciale par voie électronique, tout comme celles applicables aux cookies et autres traceurs, sont définies depuis de nombreuses années et que l’arrêt de la CJUE, dont les termes sont particulièrement clairs, a été rendu près de deux ans avant les opérations de contrôle. La société aurait dès lors dû, compte tenu notamment de sa position sur le marché et des moyens dont elle dispose, se montrer particulièrement vigilante à cet égard. Ainsi, en s’affranchissant du respect de ces règles, la formation restreinte considère que la société s’est montrée, à tout le moins, fortement négligente. 
124. Troisièmement, la formation restreinte considère que le critère relatif aux mesures prises par le responsable de traitement pour atténuer le dommage subi par les personnes concernées doit également être pris en compte, en application de l’article 83, paragraphe 2, c) du RGPD. 
125. Il apparait en effet que, sans attendre l’ouverture de la procédure de sanction, la société a pris des mesures pour mettre en conformité ses pratiques avec les dispositions de l’article L. 34-5 du CPCE, en cessant de procéder à l’affichage de messages publicitaires entre les courriels reçus dès novembre 2023.
126. Si cet élément doit être pris en considération, la formation restreinte relève néanmoins que cette mise en conformité n’est intervenue qu’après les opérations de contrôle et après échanges avec la délégation, et non de manière parfaitement autonome. 
127. Quatrièmement, la formation restreinte entend tenir compte de certaines autres circonstances applicable aux faits de l’espèce, en application de l’article 83, paragraphe 2, k) du RGPD.
128. La formation restreinte considère notamment que la société a tiré des violations commises un avantage financier certain. Ainsi, s’agissant du manquement à l’article L. 34-5 du CPCE, si, comme l’a souligné la rapporteure, la publicité n’est pas au cœur des activités de la société et que les revenus qu’elle génère ne constituent qu’une petite partie de son chiffre d’affaires, il apparait néanmoins qu’elle poursuit des activités de régie publicitaire sous l’appellation " Orange Advertising ", consistant à monnayer certains espaces de son site web auprès d’annonceurs. La société se prévaut à cet égard, sur le site orangeadvertising.fr, de 6,5 millions de vues par jour sur la page d’accueil du site, le service " Mail Orange " et la page " Orange Actu ". La société a en outre précisé que le fait de n’avoir pu afficher aucune publicité dans la boîte de réception des utilisateurs se connectant à leur messagerie depuis un navigateur entre le 2 novembre 2023 – date à laquelle elle a cessé l’affichage de publicités entre les courriels – et le 30 janvier 2024 – date de mise en place de son nouveau format de publicité, avait entraîné une perte de chiffre d’affaires qu’elle évalue à un million d’euros. L’avantage financier tiré de la violation commise doit dès lors être pris en compte, à titre de circonstance aggravante.
129. Par ailleurs, de manière plus générale, la formation restreinte considère que compte tenu de la position de la société sur le marché – celle-ci occupant la première place dans le domaine des télécommunications en France, mobilisant près de 40% de part de marché concernant l’offre Internet et 34% concernant l’offre mobile – ainsi que des moyens humains, techniques et financiers dont elle dispose, celle-ci se doit de faire preuve d’une particulière rigueur en matière de protection des données à caractère personnel. 
130. Au regard de l’ensemble de ces éléments, la formation restreinte considère que le prononcé d’une amende apparait justifié. 
2) Sur le montant de l’amende 
131. La formation restreinte relève d’abord qu’en application de l’article 20-IV de la loi Informatique et Libertés, les manquements constatés sont susceptibles de faire l’objet d’une amende administrative pouvant atteindre 10 millions d'euros ou, s'agissant d'une entreprise, 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. 
132. La formation restreinte rappelle ensuite que les amendes administratives doivent être à la fois dissuasives et proportionnées.
133. En premier lieu, s’agissant du calcul de l’assiette de l’amende – que la société entend voir limiter à la seule part de son chiffre d’affaires réalisé en France, la formation restreinte relève que l’article 20 de la loi Informatique et Libertés renvoie aux dispositions de l’article 83 du RGPD, lesquelles se réfèrent, pour déterminer le montant de la sanction encourue, à la notion d’entreprise. La CJUE a, à cet égard, eu l’occasion de rappeler que le chiffre d’affaires à prendre en compte pour déterminer ce montant est le chiffre d’affaire mondial de l’entreprise en cause, au sens du droit de la concurrence (CJUE, grande chambre, 5 décembre 2023, Deutsche Wohnen, C-807/21). Par ailleurs, le Conseil d’Etat a récemment rappelé que, si la sanction doit être proportionnée, la circonstance selon laquelle elle serait excessive au regard du chiffre d’affaires réalisé en France, ou même qu’elle priverait le responsable de traitement de l’intégralité de ses revenus générés auprès des utilisateurs français est par elle-même sans incidence sur sa légalité (CE, 10ème et 9ème CR, 14 mai 2024, n° 472221, inédit). Ainsi, l’entreprise mise en cause étant la société ORANGE SA – ce que celle-ci ne conteste pas –, la formation restreinte considère qu’il y a eu de retenir, pour servir de base au calcul du maximum de l’amende encourue, le chiffre d’affaires mondial de cette société, nonobstant le périmètre géographique des manquements.
134. En second lieu, la formation restreinte relève que le chiffre d’affaires de la société pour l’année 2023, tel qu’il ressort des comptes consolidés transmis dans le cadre du contradictoire, s’élève à 44,1 milliards d’euros, pour un résultat net de 2,9 milliards d’euros. Si la société estime qu’il y a lieu d’y soustraire le chiffre d’affaires ORANGE Espagne, en raison de la création d’une co-entreprise avec la société MASMOVIL (le chiffre d’affaires à prendre en considération s’élevant en réalité, selon elle, à 39,7 milliards d’euros), la formation restreinte entend au contraire retenir le chiffre figurant dans les comptes consolidés de la société et dans sa communication financière et qui s’élève à 44,1 milliards d’euros.
135. La formation restreinte note qu’en tout état de cause, ces montants restant relativement proches, la variation dont se prévaut la société a une incidence non significative sur la détermination du montant de l’amende. 
136. Dès lors, au regard de la responsabilité de la société, de ses capacités financières et des critères pertinents de l’article 83 du RGPD, la formation considère qu’une amende administrative d’un montant de cinquante millions d’euros apparait dissuasive et proportionnée. 
B. Sur le prononcé d’une injonction sous astreinte
137. Bien que la société ait indiqué qu’elle allait déployer, à compter du 9 septembre 2024, des mesures permettant de remédier au manquement à l’article 82 de la loi Informatique et Libertés, la formation restreinte relève qu’au jour de la séance, elle n’a pas justifié de l’évolution de ses pratiques. 
138. Elle considère ainsi qu’afin de s’assurer de la mise en conformité de la société sur ce point, le prononcé d’une injonction apparait nécessaire. 
139. Par ailleurs, pour garantir le respect de cette injonction, la formation restreinte considère qu’au regard du chiffre d’affaires de la société et des moyens financiers, humains et techniques dont elle dispose pour remédier aux manquements constatés, il convient de prononcer une astreinte journalière d’un montant de cent mille (100 000) euros par jour de retard, liquidable à l’issue d’un délai de trois (3) mois à compter de la notification de la décision. 
C. Sur la publicité de la sanction 
140. La formation restreinte considère qu’une telle mesure se justifie au regard de la gravité des manquements en cause, de la position de la société sur le marché ainsi que du nombre de personnes concernées, lesquelles se doivent d’être informées. 
141. Elle estime en outre que cette mesure apparait proportionnée dès lors que la décision n’identifiera plus nommément la société à l’issue d’un délai de deux ans à compter de sa publication. 
 
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide de :
• prononcer une amende administrative à l’encontre de la société ORANGE SA d’un montant de cinquante millions (50 000 000) d’euros pour manquements aux articles L. 34-5 du code des postes et des communications électroniques et 82 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ; 
•  prononcer à l’encontre de la société ORANGE SA une injonction de mettre en œuvre des mesures permettant d’assurer le caractère effectif du retrait du consentement des utilisateurs aux opérations de lecture et/ou d’écriture d’informations sur leur terminal ; 
•  assortir l’injonction d’une astreinte de cent mille (100 000) euros par jour de retard à l’issue d’un délai de trois mois suivant la notification de la présente délibération, les justificatifs de la mise en conformité devant être adressés à la formation restreinte dans ce délai ; 
• rendre publique, sur le site web de la CNIL et sur le site web de Légifrance, sa délibération, qui ne permettra plus d’identifier nommément la société à l’issue d’une durée de deux ans à compter de sa publication.
Le président
Philippe-Pierre CABOURDIN
Cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’État dans un délai de deux mois à compter de sa notification.
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (RGPD) ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés (loi informatique et libertés ) ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Avis du comité
Avis favorable du Comité de protection des personnes Ile-de-France X du 30 août 2023
Point de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement mis en œuvre pour les besoins de cette étude a débuté dans le cadre d’une déclaration de conformité à la méthodologie de référence MR-001 et que, suite à une modification apportée au traitement, l’étude demeure conforme à ce référentiel, à l'exception des modalités d’information des personnes concernées (inclusion de personnes se trouvant en situation d’urgence ou d’urgence vitale immédiate).
En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel.
Information et droits des personnes
Dans l’hypothèse où les personnes ne seraient pas en état de recevoir l’information, celle-ci sera délivrée, dès que possible, à la personne de confiance au sens de l’article L. 1111-6 du code de la santé publique ou, à défaut à la famille ou aux proches. Dès lors que leur état de santé le permettra, les personnes concernées seront informées de l’étude et de leurs droits.
 
Dans l’hypothèse où un patient décéderait avant que l’information ait pu être délivrée à la personne de confiance ou, à la famille ou aux proches, une note d’information spécifique leur sera remise ultérieurement afin de leur permettre, de s'opposer à l'utilisation des données concernant le patient dans le cadre de cette recherche, en application des dispositions de l’article L. 1122-1-3 du code de la santé publique.
L’ensemble de ces notes d’information devra comporter les mentions prévues par le RGPD.
Durées de conservation en base active et en archivage
Base active : trois ans
Archivage : quinze ans.
 
AUTORISE le CENTRE HOSPITALIER UNIVERSITAIRE DE MONTPELLIER à mettre en œuvre le traitement décrit ci-dessus.
 
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (RGPD) ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés (loi informatique et libertés ) ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Avis du comité
Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 18 juillet 2024.
Point de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception de de la nature des données traitées (appariement des données cliniques avec les données du Système national des données de santé (SNDS) au moyen d’un appariement probabiliste).
En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par la méthodologie de référence MR-004.
Réutilisation des données d’une base existante 
Les données de l’étude "cohorte LUCC" (dont le traitement a été réalisé dans le cadre d’une déclaration de conformité à la méthodologie de référence MR-004) seront réutilisées dans le cadre de la présente étude.
Utilisation de données issues du SNDS historique
Composantes concernées : SNIIRAM, PMSI et CépiDc
Années concernées : 2014 à 2024, sous réserve qu’elles soient diffusables par la CNAM.
Modalités de consultation : Centre d’accès sécurisé aux données 
 
Recours à un laboratoire de recherche ou à un bureau d’études ayant réalisé un engagement de conformité au référentiel déterminant les critères de confidentialité, d'expertise et d'indépendance fixé par arrêté du 17 juillet 2017 : oui
Seul ce dernier aura accès aux données individuelles du SNDS.
Les données traitées étant issues de bases composant le SNDS, l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce (articles L. 1461-1 à L. 1461-7 du code de la santé publique), notamment :
l’interdiction d’utiliser ces données pour les finalités décrites à l’article L. 1461-1 V du code la santé publique ;
le respect du référentiel de sécurité applicable au SNDS.
Durée d’accès
Trois ans à compter de la mise à disposition des données.
Transparence du traitement
Ce traitement devra être enregistré dans le répertoire public mis à disposition par la Plateforme des données de santé.
Observations particulières
La constitution d’une base de données pérenne en vue de sa réutilisation à des fins de recherche relève, sauf en cas de recueil du consentement conformément aux dispositions du Règlement général sur la protection des données, du régime de formalités préalables prévu par les dispositions de la sous-section 1 de la section 3 du chapitre III du titre 2 de la loi "informatique et libertés" (déclaration de conformité au référentiel "entrepôt de données de santé" ou autorisation).
 
AUTORISE la société JANSSEN CILAG à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Avis du comité
Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 5 septembre 2024. 
Point de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception des modalités d’information des personnes concernées. 
En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel.
Réutilisation des données d’une base existante
Les données issues du registre CRISTAL (délibération n°96-025 du 19 mars 1996) mises en œuvre par l’Agence de la biomédecine seront réutilisées dans le cadre de cette étude.
Information et droits des personnes
En application du b) du 5 de l’article 14 du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information exigerait des efforts disproportionnés.
En pareil cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.
En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre, notamment par la diffusion d’une information relative au projet de recherche comportant l’ensemble des mentions prévues par le RGPD :
sur les sites web du responsable de traitement de l’étude et de l’Agence de la biomédecine ;
par voie d’affichage au sein des centres participants ;
auprès des associations concernées de patients.
 
S’agissant des données de personnes décédées : 
Les informations concernant les personnes décédées peuvent faire l’objet d’un traitement à des fins de recherche, d’étude ou d’évaluation dans le domaine de la santé, sauf si l’intéressé a, de son vivant, exprimé son refus par écrit conformément aux dispositions de l’article 86 de la loi "informatique et libertés".
Durées de conservation en base active et en archivage
Base active : trois ans
Archivage : dix ans.
Transparence du traitement
Ce traitement devra être enregistré dans le répertoire public mis à disposition par la Plateforme des données de santé.
 
AUTORISE le CENTRE HOSPITALIER UNIVERSITAIRE DE POITIERS à mettre en œuvre le traitement décrit ci-dessus.
 
 
La Cheffe du service de la santé
 
Hélène GUIMIOT