AgentPublic/cnil huggingface dataset:
42. La rapporteure considère que la procédure mise en place par la société ne constitue pas une solution d’anonymisation, mais une simple pseudonymisation des données de l’utilisateur. 
43. En défense, la société ne conteste pas que l’identifiant unique de l’utilisateur, "id_user ", est conservé. Néanmoins, la société considère qu’il ne permet pas de réidentifier les titulaires du compte puisqu’il n’est lié à aucune autre donnée et que le pseudonyme des utilisateurs est anonymisé après 3 ans d’inactivité en étant remplacé par une suite de chiffres et de lettres aléatoires. La société […] soutient donc que la possibilité et le risque de la réidentification des personnes n’est pas démontrée. Enfin, la société a indiqué mettre en place une nouvelle procédure d’anonymisation de tous les comptes des utilisateurs inactifs depuis plus de 3 ans à compter de la fin du mois d’octobre 2022. Elle précise à cet égard que les identifiants uniques des utilisateurs inactifs depuis plus de 3 ans et les pseudonymes seront supprimés, y compris ceux présents sur les forums et ceux figurant dans les publications d’autres membres du forum. 
44. La formation restreinte rappelle que la pseudonymisation de données à caractère personnel est une opération réversible et qu’il est possible de retrouver l’identité d’une personne en disposant d’informations supplémentaires.
45. La formation restreinte relève en l’espèce que la société ne conteste pas que sa politique d’anonymisation des données prévoyait, concernant les comptes inactifs depuis plus de 3 ans, la conservation de l’identifiant unique des utilisateurs, "id_user ", ainsi que de leur nom d’utilisateur pseudonymisé. Or, la formation restreinte considère que la conservation de l’identifiant unique, "id_user " de l’utilisateur, associée à son nom d’utilisateur pseudonymisé n’empêchait pas de relier les données associées aux comptes. La formation restreinte relève ainsi que la procédure mise en place par la société permettait la conservation des données non identifiantes associées aux comptes, telles que les publications sur les forums ; or, la formation restreinte estime qu’il est courant que les utilisateurs communiquent entre eux en utilisant leurs noms d’utilisateurs. La formation restreinte considère qu’il était donc possible en l’espèce, de retrouver l’identité d’une personne en disposant d’informations supplémentaires.
46. En conséquence, la formation restreinte considère que les faits précités constituent un manquement à l’article 5-1-e) du RGPD dès lors que les mesures prises par la société pour anonymiser correctement les données à caractère personnel de l’utilisateur à l’issue d’un délai de trois ans ne correspondaient pas à une anonymisation mais à une simple pseudonymisation des données. La formation restreinte relève que la société s’est mise en conformité au cours de la procédure avec la mise en place d’une nouvelle procédure d’anonymisation, de sorte qu’il n’y a pas lieu à adresser d’injonction à la société sur ce point, mais elle rappelle néanmoins que cela ne saurait exonérer la société de sa responsabilité pour le passé.
C. Sur le manquement à l’obligation de recueillir le consentement des personnes concernées au traitement de catégories particulières de données à caractère personnel en application de l’article 9 du RGPD
47. Aux termes de l’article 9 du RGPD, le traitement des données à caractère personnel qui révèle des données concernant la santé d'une personne physique est interdit sauf s’il relève d’une des conditions prévues à l’article 9-2-a) à j) du RGPD.
48. Aux termes de l’article 4-15 du RGPD, les "données concernant la santé " sont "les données à caractère personnel relatives à la santé physique ou mentale d’une personne physique […] ".
49. La rapporteure relève qu’il ressort des constatations effectuées à l’occasion des contrôles des 9 septembre, 1er octobre et 1er décembre 2020 que la société traite des données de santé lorsque les personnes répondent aux différents questionnaires ayant pour thème la santé qui leur sont proposés sur le site […].
50. La rapporteure relève ensuite que la délégation a constaté lors de son contrôle en ligne du 9 septembre 2020 que la société ne recueillait pas l’accord de l’internaute sur l’utilisation de ses données "sensibles " afin de procéder au traitement de ses données relatives à sa santé puisque seul un texte comprenant un lien vers la politique de protection des données personnelles figurait en dessous du test.
51. La rapporteure relève néanmoins que la délégation a été informée, par courrier du 19 novembre 2020, que les tests susceptibles d’engendrer la collecte de données de santé ont été retirés du site le 12 septembre 2020. Ces tests sont de nouveau accessibles depuis le 15 octobre 2020 et leur participation est conditionnée au fait que les internautes consentent, au moyen d’une case à cocher, au traitement de leurs informations. La rapporteure relève qu’il ressort des constatations du 1er décembre 2020 que la case à cocher est accompagnée de la mention suivante "J’accepte que les éventuelles données sensibles que je renseigne au travers de mes réponses au test soient utilisées tel que décrit ci-dessous et détaillé dans la Politique de protection des données personnel ".
52. En défense la société soutient tout d’abord que le champ matériel de la notion de données de santé n’est pas défini par le RGPD et que son imprécision a conduit la société à solliciter, en vain, le conseil de la CNIL plus de 6 mois avant la désignation de la rapporteure, le 8 avril 2021. Ensuite, la société soutient que la rapporteure n’a pas apporté la preuve du traitement systématique de données de santé par […] en violation de l’article 6 de la CEDH. La société soutient que, n’ayant accès qu’aux adresses IP hachées des utilisateurs, elle ne peut pas identifier les personnes concernées. Enfin, seule une part très minoritaire des tests proposés sur le site internet de […], de l’ordre de 5%, serait susceptible de permettre la collecte des données de santé, à supposer que cette qualification juridique soit effectivement applicable.
53. En premier lieu, la formation restreinte considère que le fichier démontrant la collecte des réponses des utilisateurs à un test intitulé "Cancer du côlon : quels sont vos risques " associées à leurs adresses IP permet de constater la collecte d’informations concernant les antécédents médicaux (cancer du sein ou de l’endomètre) ou l’état physiologique des personnes concernées (indice de masse corporelle). La formation restreinte relève que la société proposait d’autres tests accessibles sur son site web et portant sur le thème de la santé, tels que notamment, les tests intitulés "où en êtes-vous avec l’alcool ? ", "manquez-vous de fer ? ", "mangez-vous trop de sucre ? ", "Et si c’était de l’asthme ? ", "Varices : êtes-vous à risque ? ", "Et si c’était la maladie d’Alzheimer ? ", "Accident vasculaire cérébral : quels sont vos risques ? ", "Patients hypertendus : faites-vous assez de sport ? " ou encore "Avez-vous une bonne audition ?.
54. La formation restreinte relève qu’il a été démontré que le système de hachage des adresses IP mis en place ne permettait pas d’empêcher la réidentification des utilisateurs du site web et que la société […] était en mesure d’associer les réponses issues des tests effectués à l’adresse IP, d’une part, aux informations d’un titulaire d’un compte sur le site web […], d’autre part.
55. La formation restreinte considère, dès lors, qu’en disposant de telles informations sur les personnes ayant répondu aux tests, la société traite des données de santé au sens de l’article 4-15 du RGPD. 
56. En deuxième lieu, en l’absence d’autres conditions mobilisables pour permettre ledit traitement au cas d’espèce au titre de l’article 9-2-b) à j) du RGPD, la formation restreinte considère qu’un tel traitement ne peut être mis en œuvre que sur la base du consentement explicite de la personne concernée, au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques, en application de l’article 9-2-a) du RGPD. La formation restreinte rappelle que le caractère explicite du consentement s’analyse au cas par cas et dépend du contexte du traitement des données de santé. Lorsque le service demandé par l’utilisateur implique nécessairement le traitement de données de santé, il est cependant nécessaire que l’utilisateur ait pleinement conscience de ce que ses données de santé seront traitées et parfois conservés par le responsable de traitement, ce qui implique en principe une information explicite sur ce point lors du recueil du consentement.
57. La formation restreinte relève que, jusqu’au retrait du site web des tests susceptibles d’engendrer la collecte de données de santé le 12 septembre 2020, aucun avertissement particulier ni mécanisme de recueil du consentement ne figurait sur les questionnaires afin de s’assurer que la personne avait conscience et consentait au traitement de ses données de santé. 
58. La formation restreinte rappelle qu’elle a déjà adopté des mesures correctrices à l’encontre de responsables de traitement ne recueillant pas le consentement exprès des personnes à la collecte et au traitement de leurs données sensibles, notamment dans ses délibérations n° 2016-405 du 15 décembre 2016 et n° 2016-406 du 15 décembre 2016.
59. En troisième lieu, la formation restreinte relève que le refus d’accompagnement de la CNIL, matérialisé par le courrier de la direction de l’accompagnement juridique de la Commission du 30 avril 2021 en réponse à la demande de la société du 8 avril 2021, s’inscrit dans le cadre prévu par la charte d’accompagnement des professionnels de la CNIL, qui prévoit une impossibilité d’accompagner les organismes dans leur mise en conformité lorsqu’une procédure de contrôle est en cours. La formation restreinte relève que si la CNIL peut répondre à une demande de conseil à l’issue du contrôle si la phase répressive n’est pas engagée, tel n’est pas le cas en l’espèce puisqu’une procédure de sanction a postérieurement été engagée.
60. En quatrième lieu, la formation restreinte relève que selon la société, la part des tests proposés sur le site internet de […] concernée par la collecte des données de santé est de l’ordre de 5%. La formation restreinte note, en conséquence, que ledit traitement de données sensibles concerne environ […] réponses.
61. En conséquence, la formation restreinte considère que les faits précités constituent un manquement aux obligations de l’article 9 du RGPD dès lors que, jusqu’au 12 septembre 2020 les données étaient traitées en méconnaissance des conditions définies par cet article. 
62. La formation restreinte relève enfin que les tests susceptibles d’engendrer la collecte des données de santé sont de nouveau accessibles depuis le 15 octobre 2020 et que la participation à ces tests est conditionnée au fait que les internautes consentent, au moyen d’une case à cocher, au traitement de leurs informations. Elle relève que la société s’est mise en conformité au cours de la procédure de contrôle, ce qui ne remet toutefois pas en cause l’existence du manquement pour les faits passés.
D. Sur le manquement à l’obligation d’information des personnes en application de l’article 13 du RGPD
63. Aux termes de l’article 13 du RGPD, le responsable du traitement doit fournir à la personne concernée par le traitement plusieurs informations au moment où les données sont obtenues.
64. Dans son rapport initial la rapporteure relevait que l’information fournie par la société sur le site web […]ne précisait pas la base juridique des traitements mis en œuvre. La rapporteure relevait également qu’aucune mention ne précisait si la fourniture d’une information était obligatoire en ce qu’elle avait un caractère réglementaire ou contractuel ou si elle conditionnait la conclusion d'un contrat et si la personne concernée était tenue de fournir les données à caractère personnel.
65. En défense, la société communique sa "Politique de protection des données " et indique qu’elle contient les références aux bases légales applicables.
66. Lors de la séance, compte tenu des éléments communiqués par la société dans le cadre de l’instruction, la rapporteure a proposé à la formation restreinte de ne pas retenir le manquement en lien avec l’information fournie par la société sur le site web, considérant que la "Politique de protection des données " accessible depuis le site web […], contient les informations sur la base juridique appliquée pour les traitements mis en œuvre et le fait que certaines informations conditionnent la création d’un compte utilisateur ou ont un caractère réglementaire.
67. La formation restreinte considère que le manquement à l’article 13 du RGPD n’est pas constitué.
E. Sur le manquement à l’obligation d’encadrer par un acte juridique formalisé les traitements effectués conjointement avec un autre responsable de traitement en application de l’article 26 du RGPD
68. Aux termes de l’article 26 du RGPD, "1. Lorsque deux responsables du traitement ou plus déterminent conjointement les finalités et les moyens du traitement, ils sont les responsables conjoints du traitement. Les responsables conjoints du traitement définissent de manière transparente leurs obligations respectives aux fins d'assurer le respect des exigences du présent règlement, notamment en ce qui concerne l'exercice des droits de la personne concernée, et leurs obligations respectives quant à la communication des informations visées aux articles 13 et 14, par voie d'accord entre eux, sauf si, et dans la mesure, où leurs obligations respectives sont définies par le droit de l'Union ou par le droit de l'État membre auquel les responsables du traitement sont soumis. Un point de contact pour les personnes concernées peut être désigné dans l'accord. 
2. L'accord visé au paragraphe 1 reflète dûment les rôles respectifs des responsables conjoints du traitement et leurs relations vis-à-vis des personnes concernées. Les grandes lignes de l'accord sont mises à la disposition de la personne concernée.
3. Indépendamment des termes de l'accord visé au paragraphe 1, la personne concernée peut exercer les droits que lui confère le présent règlement à l'égard de et contre chacun des responsables du traitement ".
69. La rapporteure relève qu’il ressort des éléments transmis par la société […] qu’elle se considère responsable conjoint de [...]et de [...]. Or, la rapporteure relève qu’aucun contrat conclu entre la société et ces deux entités ne contient de disposition relative à la définition des obligations respectives des parties en application de l’article 26 du RGPD. La rapporteure note néanmoins que la société a transmis, le 24 février 2021, des avenants aux contrats existants qui définissent les obligations respectives des parties. 
70. En défense, la société ne remet pas en cause la réalité du manquement allégué mais soutient qu’aucune personne concernée ne s’est plainte de ne pas avoir reçu les informations nécessaires ou que ses droits n’aient été respectés et qu’ainsi l’exercice des droits des personnes était garanti. En conséquence, la société soutient que ce manquement doit être écarté.
71. La formation restreinte relève qu’il ressort des éléments transmis par la société […] que cette dernière est responsable conjointe avec les sociétés [...], d’une part, s’agissant des traitements liés à la commercialisation des espaces publicitaire du site web […] et [...], d’autre part, au sujet des traitements de données ayant recours aux outils techniques et aux structures fonctionnelles mises à disposition par cette dernière. 
72. Si les éléments transmis par la société […] attestent que des avenants relatifs à la protection des données à caractère personnel, définissant les obligations respectives des parties, ont été conclus depuis le 24 février 2021, conformément aux exigences de l’article 26 du RGPD, la formation restreinte note que la relation de responsabilité conjointe n’était pas encadrée au moment des contrôles de la CNIL.
73. Dès lors, au regard de ce qui précède, la formation restreinte considère que les faits précités constituent un manquement à l’article 26 du RGPD, l’absence de plainte ou de préjudice pour les utilisateurs étant inopérante. La formation restreinte note les mesures de mises en conformité effectuées au cours de la procédure, lesquelles ne sauraient exonérer la société de sa responsabilité pour le manquement constaté. 
F. Sur le manquement à l’obligation d’assurer la sécurité des données à caractère personnel en application de l’article 32 du RGPD
74. Aux termes de l’article 32 du RGPD, "1. Compte tenu de l'état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, y compris entre autres, selon les besoins :
a) la pseudonymisation et le chiffrement des données à caractère personnel ;
b) des moyens permettant de garantir la confidentialité, l'intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement ; […] ".
a. Sur l’absence de sécurité relative à la navigation des utilisateurs sur le site web
75. La rapporteure relève que lors du contrôle sur place du 1er octobre 2020, la société a indiqué à la délégation qu’avant octobre 2019, les pages relatives aux tests mis en œuvre sur le site web […] par la société [...], utilisaient par défaut le protocole de communication "HTTP ". La rapporteure relève, dès lors, que ce protocole de communication était présent sur les pages de tests à partir desquelles des données à caractère personnel – comprenant des données de santé – étaient renseignées par des utilisateurs.
76. La rapporteure relève néanmoins que la délégation a constaté le 9 septembre 2020 que lesdites pages utilisaient désormais le protocole de communication "HTTPS ".
77. En défense, la société soutient que le RGPD ne prévoit pas d’obligation de mettre en œuvre le protocole HTTPS et que la CNIL ne peut donc sanctionner l’usage du protocole "http " sur la base d’une simple recommandation alors même qu’il n’a fait l’objet d’aucune violation de données. La société précise également que l’absence de protocole "HTTPS " avant octobre 2019 était la pratique dominante du marché et conforme à "l’état de l’art " en la matière. Enfin, la société soutient que la délégation de la CNIL n’a pas pu constater les faits puisque le manquement est fondé uniquement sur des déclarations de salariés de la société qui ne sauraient être utilisées pour fonder une sanction, sauf à méconnaître le droit de […] à ne pas s’auto-incriminer. 
78. En premier lieu, la formation restreinte rappelle que, en application de l’article 32 du RGPD, il incombe au responsable de traitement de prendre des "mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque ".
79. La formation restreinte estime tout d’abord que la survenance d’une violation de données n’est pas nécessaire à la caractérisation d’un manquement et qu’elle a adopté à plusieurs reprises des sanctions pécuniaires dans lesquelles la constitution d’un manquement à l’article 32 RGPD est fondé sur l’absence de mesures suffisantes pour garantir la sécurité des données à caractère personnel, notamment dans les délibérations n° SAN-2019-006 du 13 juin 2019 et n° SAN-2021-021 du 28 décembre 2021 à l’encontre de la société […].
80. En l’espèce, la formation restreinte relève que le protocole "HTTP " est un protocole de communication qui ne permet ni l’authentification du site web, ni le chiffrement des données lors de leur transmission vers les serveurs de la société [...], ce qui ne permet pas de garantir l’authenticité du site consulté, ni l’intégrité et la confidentialité des données échangées, exposant les données à caractère personnel traitées par le biais de ces pages à des risques d’écoute, d’interception ou de modification à l’insu de l’utilisateur, ce qui peut conduire à porter atteinte à la vie privée des personnes concernées.
81. La formation restreinte relève à titre d’éclairage que la nécessité d’assurer la confidentialité des canaux de transmission de données à caractère personnel est soulignée par l’Agence nationale de la sécurité des systèmes d’information (ANSSI) depuis 2013 notamment dans sa "Recommandations pour la mise en œuvre d'un site web : maîtriser les standards de sécurité côté navigateur " qui précise que "La mise en place de HTTPS sur un site ou une application web est une garantie de sécurité qui repose sur TLS pour assurer la confidentialité et l’intégrité des informations échangées, ainsi que l’authenticité du serveur contacté. L’absence de cette garantie peut entraîner de nombreux abus sans pour autant que l’intention soit malveillante ".
82. La formation restreinte relève également que la Commission recommande de façon constante depuis la publication de son guide "La sécurité des données personnelles " en 2018, de mettre en œuvre, à titre de précautions élémentaires, le protocole "TLS " en utilisant uniquement les versions les plus récentes et en vérifiant sa bonne mise en œuvre.
83. La formation restreinte considère que si les recommandations de l’ANSSI et le guide de la CNIL n’ont pas un caractère impératif, ils sont mobilisés à titre d’éclairage et exposent néanmoins les précautions élémentaires de sécurité correspondant à l’état de l’art. La formation restreinte considère en conséquence, que l’usage du protocole "HTTPS " relevait de l’état de l’art avant le mois d’octobre 2019, contrairement à ce que soutient la société. 
84. La formation restreinte relève en outre que les données à caractère personnel en question sont des données sensibles puisqu’il s’agit des réponses des utilisateurs à des tests impliquant la collecte de données concernant leur santé associées à leur adresse IP. Dès lors, la prise en compte de ces risques pour la protection des données à caractère personnel et de la vie privée des personnes conduit la formation restreinte à considérer que les mesures déployées pour garantir la sécurité des données, en l’espèce, étaient insuffisantes dès lors que des données à caractère personnel transitaient vers les serveurs de la société [...].
85. En conséquence, la formation restreinte considère, au regard des données personnelles objet du traitement, que l’absence de mise en place de la mesure de sécurité de base que constitue l’utilisation du protocole "HTTPS " ou d’une autre mesure de sécurité équivalente caractérise un manquement à l’article 32 du RGPD. La formation restreinte relève néanmoins que la délégation a constaté lors de son contrôle du 9 septembre 2020 que les pages relatives aux tests mis en œuvre sur le site web […] utilisaient le protocole de communication "HTTPS ". Elle rappelle néanmoins que les mesures de mises en conformité effectuées ne sauraient exonérer la société de sa responsabilité pour le manquement constaté.