AgentPublic/cnil huggingface dataset:
14. Le rapporteur et la société ont présenté des observations orales lors de la séance de la formation restreinte.
II. Motifs de la décision
A. Sur les traitements de données à caractère personnel en cause et la responsabilité de la société X 
15. S’agissant des traitements en cause, la formation restreinte note que la procédure porte sur les opérations de lecture et d’écriture effectuées sur l’équipement terminal des utilisateurs et qui relèvent du champ d’application de la directive " ePrivacy ", en particulier, la lecture de l’" Identifier For Advertisers " (ci-après " IDFA ") et de l’IDFV, du terminal des utilisateurs embarquant le système d’exploitation iOS.
16. L’IDFA est un identifiant unique attribué à chaque appareil par le système d’exploitation iOS de la société APPLE. Il s’agit d’une série de caractères hexadécimaux créée dans le but de permettre aux acteurs publicitaires d’identifier l’appareil de manière unique dans l’ensemble des applications mobiles installées qui utilisent cet identifiant.
17. L’IDFV est quant à lui un identifiant qui est mis à la disposition des éditeurs par APPLE, leur servant à suivre l’utilisation de leurs applications par les utilisateurs. Contrairement à l’IDFA, l’IDFV n’a la même valeur que pour les applications identifiées comme provenant du même éditeur. L’IDFV est ainsi distinct pour chaque éditeur d’application, mais identique pour toutes les applications distribuées par un même éditeur.
18. S’agissant de la responsabilité de ces traitements, la formation restreinte relève, tout d’abord, que l’article 4, paragraphe 7, du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données (ci-après " RGPD ") est applicable à la présente procédure en raison du recours à la notion de " responsable de traitement " dans l’article 82 de la loi Informatique et Libertés, lequel est justifié par le renvoi opéré par l’article 2 de la directive " ePrivacy " à la directive 95/46/CE sur la protection des données personnelles à laquelle s’est substitué le RGPD.
19. Aux termes de l’article 4, paragraphe 7, du RGPD, le responsable de traitement est " la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement ".
20. La formation restreinte relève ensuite qu’il ressort des éléments versés au dossier que la société X indique qu’elle détermine les finalités et les moyens des traitements des données à caractère personnel des utilisateurs des applications. Les éléments au dossier corroborent cette déclaration. 
21. La société X doit donc être regardée comme responsable du traitement consistant en des opérations d’accès ou d’inscription d’informations dans le terminal des utilisateurs résidant en France lors de l’utilisation des applications qu’elle édite.
B. Sur la procédure 
22. La société considère que la procédure suivie par la CNIL ne respecte pas le principe du droit à un procès équitable dans la mesure où le rapporteur n’aurait pas conduit son instruction à charge et à décharge. La société considère que le rapporteur n’aurait pas pris en compte les chiffres qu’elle a fournis le 3 août 2022 relatifs au nombre d’utilisateurs des applications X visées par le contrôle, lesquels sont bien plus représentatifs du nombre de personnes concernées que le nombre de téléchargements sur lequel se fonde le rapporteur dans son rapport initial. Compte tenu de ces éléments, la société demande à la formation restreinte d’écarter des débats le procès-verbal de contrôle du 18 juillet 2022. 
23. En premier lieu, la formation restreinte relève que, si la procédure de sanction est bien soumise à certaines exigences du droit à un procès équitable, la société n’apporte pas d’élément tendant à démontrer que la procédure en cause n’aurait pas respecté les droits de la défense.
24. En second lieu, s’agissant des chiffres relatifs au nombre de téléchargements ou d’utilisateurs uniques actifs en France sur iOS, la formation restreinte relève qu’ainsi qu’il l’a exposé en séance, le rapporteur a fait mention du nombre de téléchargements des applications X afin de mettre en avant le nombre de personnes potentiellement concernées par le manquement qu’il estime constitué. Elle note par ailleurs que la phase de contradictoire entre le rapporteur et la société X a permis que soient versés aux débats des chiffres relatifs au nombre de personnes concernées et, qu’en séance, le rapporteur a pris en compte cette volumétrie afin de moduler le montant de l’amende proposée. 
25. Au regard de ces éléments, la formation restreinte estime que la procédure n’est pas entachée d’irrégularité. 
C. Sur le manquement à l’article 82 de la loi Informatique et Libertés 
26. Aux termes de l’article 82 de la loi Informatique et Libertés, transposant l’article 5, paragraphe 3, de la directive " ePrivacy ", " tout abonné ou utilisateur d’un service de communications électroniques doit être informé de manière claire et complète, sauf s’il l’a été au préalable, par le responsable du traitement ou son représentant : 
1° De la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans son équipement terminal de communications électroniques, ou à inscrire des informations dans cet équipement ;
2° Des moyens dont il dispose pour s’y opposer.
Ces accès ou inscriptions ne peuvent avoir lieu qu’à condition que l'abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son consentement qui peut résulter de paramètres appropriés de son dispositif de connexion ou de tout autre dispositif placé sous son contrôle.
Ces dispositions ne sont pas applicables si l’accès aux informations stockées dans l’équipement terminal de l’utilisateur ou l’inscription d’informations dans l’équipement terminal de l’utilisateur :
1° Soit, a pour finalité exclusive de permettre ou faciliter la communication par voie électronique ;
2° Soit, est strictement nécessaire à la fourniture d'un service de communication en ligne à la demande expresse de l’utilisateur ".
27. Depuis l’entrée en application du RGPD, le " consentement " prévu à l’article 82 précité doit s’entendre au sens de l’article 4, paragraphe 11 du RGPD, c’est-à-dire qu’il doit être donné de manière libre, spécifique, éclairée et univoque et se manifester par un acte positif clair.
28. La CNIL a précisé dans sa délibération n° 2020-091 du 17 septembre 2020 portant adoption de lignes directrices relatives à l’application de l'article 82 de la loi du 6 janvier 1978 modifiée aux opérations de lecture et écriture dans le terminal d’un utilisateur (notamment aux " cookies et autres traceurs ") et abrogeant la délibération n° 2019-093 du 4 juillet 2019 : " les présentes lignes directrices concernent tous les équipements terminaux visés par cette définition, quels que soient les systèmes d’exploitation ou les logiciels applicatifs (tels que les navigateurs web) utilisés. Elles portent, en particulier, sur l’utilisation des cookies HTTP, par lesquels ces actions de lecture ou écriture sont le plus souvent réalisées, mais également d’autres technologies telles que […] les identifiants générés par les systèmes d’exploitation (qu’ils soient publicitaires ou non : IDFA, IDFV, Android ID, etc.), les identifiants matériels (adresse MAC, numéro de série ou tout autre identifiant d’un appareil), etc. " (§§ 12 et 13).
29. Le rapporteur observe que lors du contrôle réalisé le 19 août 2021 sur un appareil de la marque APPLE embarquant le système d’exploitation iOS, lorsqu’un utilisateur ouvre pour la première fois une application éditée par la société X, la " sollicitation ATT " est présentée à l’utilisateur afin d’obtenir son consentement au suivi de ses activités sur les applications téléchargées sur son téléphone. L’utilisateur a alors la possibilité de cliquer sur " Demander à l’app de ne pas suivre mes activités " ou sur " Autoriser ". Quel que soit le choix exprimé par l’utilisateur en réponse à la " sollicitation ATT ", une seconde fenêtre, propre à la société X, lui est présentée. Lorsque l’utilisateur clique sur " Demander à l’app de ne pas suivre mes activités ", la fenêtre qui lui est ensuite présentée par la société X ne contient aucun bouton ou case à cocher destinés à un recueillir son consentement à d’autres formes d’annonces personnalisées. L’utilisateur doit uniquement certifier être âgé de plus de seize ans et accepter la politique de protection des données à caractère personnel de la société.
30. Le rapporteur note que, dans ce scénario, l’IDFA, qui est l’identifiant publicitaire d’APPLE, n’est pas lu mais est remplacé par une chaîne de zéros (" 00000000-0000-0000-0000-000000000000 "). En revanche, il constate que l’IDFV est quant à lui lu et transmis à des domaines ayant des finalités publicitaires, avec d’autres informations propres à l’appareil (langue du système, modèle de l’appareil, luminosité de l’écran, niveau de la batterie, espace mémoire disponible notamment) et à son utilisation (application utilisée et temps passé), sans que l’utilisateur ait donné son consentement à cette opération. Il observe que la société X ne conteste pas la finalité publicitaire de cette opération de lecture et il en conclut qu’en utilisant l’identifiant IDFV à cette fin sans consentement préalable de l’utilisateur, la société X méconnaît les obligations de l’article 82 de la loi Informatique et Libertés. Le rapporteur relève en outre que le manquement commis par la société X est d’une particulière gravité dans la mesure où l’information qu’elle présente à l’utilisateur est trompeuse. En effet, lorsque l’utilisateur a refusé la " sollicitation ATT ", la seconde fenêtre présentée à l’utilisateur contient un texte lui indiquant que les paramètres de son téléphone " empêchent le suivi à des fins de personnalisation des annonces et publicités en fonction de l’identifiant publicitaire de votre appareil ". Le rapporteur considère dès lors que l’utilisateur s’attend légitimement à ce
qu’aucun suivi, quel que soit sa forme, ne soit effectué à des fins publicitaires.
31. En défense, la société conteste l’affirmation du rapporteur selon laquelle la " sollicitation ATT " n’est plus présentée à l’utilisateur qui a téléchargé plusieurs applications X dès lors qu’il a refusé le suivi publicitaire à l’occasion de l’ouverture de la première application. Elle précise que la " sollicitation ATT " est présentée à l’utilisateur à chaque téléchargement d’une nouvelle application X, sauf si l’utilisateur a désactivé l’option " Autoriser les demandes de suivi des apps " disponible dans les réglages " Confidentialité " / " Suivi " de son iPhone et non pas une seule fois pour toutes les applications X. Elle considère que son dispositif de recueil du consentement à l’utilisation des identifiants à des fins publicitaires et l’information fournie aux utilisateurs sont partiellement conformes aux dispositions de l’article 82 de loi Informatique et Libertés. La société indique que, s’agissant de l’information fournie aux utilisateurs, celle-ci est certes maladroite, mais ne saurait pour autant être qualifiée de trompeuse et ne présente pas le caractère de gravité souligné par le rapporteur. En effet, si, dans la fenêtre qu’elle affiche, la société mentionne qu’elle collecte des données pour une " finalité de publicité non ciblée " " en fonction [des] habitudes de navigation " des utilisateurs, cette information doit s’interpréter par rapport au traçage des " habitudes de navigation " rendu possible par l’IDFA qui permet un suivi à travers toutes les
applications téléchargées par un utilisateur sur son terminal embarquant le système d’exploitation iOS. La société fait valoir que par contraste, lorsqu’il est collecté, l’IDFV ne permet qu’un suivi parmi les applications proposées par un même éditeur. La société indique que c’est en ce sens que la société X affirmait ne pas faire de " suivi " des utilisateurs en cas de refus de l’ATT.
32. En premier lieu, la formation restreinte rappelle que l’article 82 de la loi Informatique et Libertés exige un consentement aux opérations de lecture et d’écriture d’informations dans le terminal d’un utilisateur mais prévoit des cas spécifiques dans lesquels certains traceurs bénéficient d’une exemption au consentement : soit lorsque celui-ci a pour finalité exclusive de permettre ou faciliter la communication par voie électronique, soit lorsqu’il est strictement nécessaire à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur.
33. En l’espèce, la formation restreinte relève que la société ne conteste pas qu’une opération de lecture de l’IDFV propre au terminal de l’utilisateur est réalisée lorsque celui-ci refuse la " sollicitation ATT " - laquelle sollicitation permet, lorsqu’elle est acceptée, de recueillir le consentement de l’utilisateur au suivi de ses activités sur les applications téléchargées. La société confirme également que la lecture de l’IDFV des utilisateurs poursuit une finalité publicitaire.
34. La formation restreinte relève que cette opération n’a ainsi pas pour finalité de permettre ou de faciliter la communication par voie électronique et n’est pas strictement nécessaire à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur. Par conséquent, une telle opération de lecture de l’IDFV ne relève d’aucune des exceptions définies à l’article 82 de la loi " Informatique et Libertés " et ne peut être effectuée sur le terminal de la personne sans consentement préalable.
35. La formation restreinte considère que, quand bien même l’IDFV ne permet pas un traçage aussi étendu que celui rendu possible par l’IDFA, il n’en demeure pas moins que, comme cela ressort des pièces du dossier et des écritures de la société et en particulier de la fenêtre qu’elle présente à l’utilisateur, que cet identifiant permet de suivre l’activité de l’utilisateur au sein des applications édités par X à des fins publicitaires et sans l’accord préalable des intéressés. La formation restreinte note de surcroît qu’en refusant la " sollicitation ATT ", l’utilisateur a déjà exprimé sa volonté que son activité ne soit pas suivie par quel qu’acteur que ce soit. Ainsi, le fait pour la société de tout de même procéder à des opérations de lecture et/ou d’écriture à des fins publicitaires prive d’effectivité le choix exprimé par l’utilisateur.
36. En deuxième lieu, la formation restreinte relève qu’en cas de refus de la " sollicitation ATT ", l’information suivante est présentée à l’utilisateur : " Vous avez désactivé le suivi publicitaire sur votre terminal " (en rouge) et " La protection des données est un enjeu primordial pour X et nous respectons votre choix. Veuillez noter que les paramètres de votre appareil empêchent le suivi à des fins de personnalisation des annonces et publicités en fonction de l’identifiant publicitaire de votre appareil. D’autres données techniques n’impliquant pas de suivi (telles que des informations liées au type d’appareil, au type de connexion ou à son adresse IP par exemple) peuvent toujours être collectées tel que décrit dans notre politique de confidentialité, notamment pour vous permettre de profiter de nos jeux mais aussi pour que nous puissions continuer à améliorer et résoudre les problèmes potentiels de nos jeux (finalité d’analyse et de correction) et à vous proposer des publicités non-personnalisées en fonction de vos habitudes de navigation (finalité de publicité non ciblée) ". La formation restreinte considère que l’utilisateur qui prend connaissance de ces informations peut légitimement s’attendre à ce qu’aucun suivi de son activité ne soit effectué à des fins de personnalisation des annonces. En outre, la formation restreinte observe que les termes employés dans cette fenêtre ne correspondent pas à la réalité du traitement effectué par la société. En effet, la
société indique collecter des " données techniques n’impliquant pas de suivi " afin de proposer " des publicités non personnalisées en fonction de vos habitudes de navigation ". Or, la formation restreinte considère que le fait de collecter des informations sur les " habitudes de navigation " des utilisateurs afin de leur proposer des publicités fait nécessairement obstacle à ce que ces publicités puissent être qualifiées de " non personnalisées ", quand bien même les données associées à l’identifiant ne permettent qu’une faible personnalisation, limitée au contexte de l’application utilisée. Elle considère ainsi que l’information est de nature à induire en erreur les utilisateurs quant aux conséquences du refus de la " sollicitation ATT ".
37. Au regard de ce qui précède, la formation restreinte considère qu’en utilisant l’identifiant IDFV, à des fins publicitaires sans consentement de l’utilisateur, la société X méconnaît les obligations de l’article 82 de la loi Informatique et Libertés.
III. Sur les mesures correctrices et leur publicité
38. Aux termes de l’article 20, III, de la loi du 6 janvier 1978 modifiée, " Lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l’informatique et des libertés peut également, le cas échéant après lui avoir adressé l’avertissement prévu au I du présent article ou, le cas échéant en complément d’une mise en demeure prévue au II, saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l’une ou de plusieurs des mesures suivantes : […]
2° Une injonction de mettre en conformité le traitement avec les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi ou de satisfaire aux demandes présentées par la personne concernée en vue d'exercer ses droits, qui peut être assortie, sauf dans des cas où le traitement est mis en œuvre par l'État, d'une astreinte dont le montant ne peut excéder 100 000 € par jour de retard à compter de la date fixée par la formation restreinte ; […]
7° A l’exception des cas où le traitement est mis en œuvre par l’État, une amende administrative ne pouvant excéder 10 millions d’euros ou, s’agissant d’une entreprise, 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu. […] La formation restreinte prend en compte, dans la détermination du montant de l’amende, les critères précisés au même article 83 ".
39. L’article 83 du RGPD prévoit quant à lui que " chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour des violations du présent règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives ", avant de préciser les éléments devant être pris en compte pour décider s’il y a lieu d’imposer une amende administrative et pour décider du montant de cette amende.
A. Sur le prononcé d’une amende administrative et son montant
40. En défense, la société fait valoir que la proposition d’amende du rapporteur est insuffisamment motivée. Elle rappelle ensuite que le cadre juridique applicable aux traceurs a évolué de façon constante, pour partie imprévisible et hétérogène aux niveaux français et européen de 2019 à 2021.
41. Elle met également en avant les contraintes auxquelles son activité économique est soumise et notamment sa situation de dépendance et de vulnérabilité vis-à-vis des plateformes en situation de monopole qui contrôlent les magasins d’application. Elle rappelle que l’obligation d’utiliser la " sollicitation ATT " a contraint les éditeurs d’applications à développer leur propre dispositif de recueil du consentement qui doit s’appliquer en plus de la fenêtre ATT. Selon la société, APPLE a ainsi forcé les éditeurs " à adopter des modalités de recueil du consentement peu satisfaisantes car complexes pour l’utilisateur ". Elle souligne que ses revenus dépendent quasi exclusivement de l’affichage de publicités. 
42. Elle considère que tout manquement qu’elle aurait commis ne serait que d’une portée limitée dans la mesure où les données collectées ne sont pas directement identifiantes, ne sont pas intrusives, voire ne constituent pas des données à caractère personnel. Elle souligne que la durée de la collecte est très courte, en moyenne 17,4 minutes par mois par utilisateur, que le traitement en cause a été mis en œuvre récemment puisque l’ATT date d’avril 2021 et que le manquement ne concernerait que les utilisateurs disposant du système d’exploitation iOS qui n’auraient pas consenti à la " sollicitation ATT ", soit un nombre de personnes concernées largement inférieur au nombre de téléchargements avancé par le rapporteur.
43. Enfin, la société considère que le prononcé d’une sanction à son égard ne serait pas cohérent avec le plan d’action dévoilé le 24 novembre par la CNIL dont l’objectif est d’accompagner les acteurs de l’écosystème des applications mobiles.
44. La formation restreinte rappelle que l’article 20, paragraphe III, de la loi Informatique et Libertés lui donne compétence pour prononcer diverses sanctions, notamment des amendes administratives dont le montant maximal peut être équivalant à 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent réalisé par le responsable de traitement ou à 10 millions d’euros. Elle ajoute que la détermination du montant de ces amendes s’apprécie au regard des critères précisés par l’article 83 du RGPD.
45. La formation restreinte relève ensuite que l’ensemble des écritures qui ont été portées à sa connaissance, tant par le rapporteur que par la société, contiennent l’ensemble des éléments permettant d’apprécier le montant de l’amende proposée. 
46. En premier lieu, s’agissant des contraintes générées par la mise en place de la " sollicitation ATT ", la formation restreinte considère que cette circonstance ne saurait exonérer la société de sa responsabilité propre : en l’absence d’un consentement exprès de l’utilisateur, la formation restreinte considère que la société ne peut pas procéder à des opérations de lecture dans le terminal de ce dernier à des fins publicitaires.
47. En deuxième lieu, la formation restreinte souligne qu’il convient, en l’espèce, de faire application du critère prévu à l’alinéa a) de l’article 83, paragraphe 2, du RGPD relatif à la gravité du manquement compte tenu de la portée du traitement et du nombre de personnes concernées par ce dernier.
48. La formation restreinte relève, tout d’abord, qu’en ne recueillant pas le consentement des utilisateurs à la lecture de l’IDFV, la société les prive de la possibilité d’exercer leur choix conformément aux dispositions de l’article 82 précité. En outre, elle observe que le manquement est aggravé par le fait que l’information présentée à l’utilisateur qui a refusé la " sollicitation ATT " lui laisse légitimement penser qu’il ne fera l’objet d’aucune forme de traçage.
49. S’agissant du nombre de personnes concernées, la formation restreinte note qu’il ressort des chiffres transmis par la société dans ses dernières écritures que les onze applications ayant fait l’objet du contrôle comptent au total 5,8 millions d’utilisateurs en France sur iOS entre avril 2021 et juillet 2022. La formation restreinte note que s’il ne s’agit pas nécessairement de 5,8 millions d’utilisateurs uniques et que, selon la société, 43 % d’entre eux acceptent le suivi de leurs activités, il n’en demeure pas moins que ce volume important de personnes reflète la place centrale occupée par la société dans le secteur des jeux sur téléphone, laquelle revendique sur son site web 150 millions d’utilisateurs actifs par mois dans le monde, faisant d’elle l’une des principales entreprises du secteur.