AgentPublic/cnil huggingface dataset:
148. En conséquence, la formation restreinte considère, au regard des données personnelles objet du traitement (notamment, des données bancaires), que l’absence de mise en place de la mesure de sécurité de base que constitue l’utilisation du protocole " HTTPS " ou d’une autre mesure de sécurité équivalente caractérise un manquement à l’article 32 du RGPD. La formation restreinte prend note néanmoins de la modification du protocole par la société en cours de procédure. Elle rappelle toutefois que les mesures de mises en conformité effectuées ne sauraient exonérer la société de sa responsabilité pour le manquement constaté. 
I. Sur le manquement relatif à l’obligation de notifier les violations de données à caractère personnel à la CNIL en application de l’article 33 du RGPD
149. L’article 4, 12) du RGPD définit la violation de données à caractère personnel comme " une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées d’une autre manière, ou l’accès non autorisé à de telles données ".
150. L’article 33 du RGPD dispose qu’" en cas de violation de données à caractère personnel, le responsable du traitement en notifie la violation en question à l’autorité de contrôle compétente conformément à l’article 55, dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, à moins que la violation en question ne soit pas susceptible d’engendrer un risque pour les droits et libertés des personnes physiques. Lorsque la notification à l’autorité de contrôle n’a pas lieu dans les 72 heures, elle est accompagnée des motifs du retard (…) Si, et dans la mesure où, il n’est pas possible de fournir toutes les informations en même temps, les informations peuvent être communiquées de manière échelonnée sans autre retard indu. "
151. Le considérant 87 du RGPD précise qu’" il convient de vérifier si toutes les mesures de protection techniques et organisationnelles appropriées ont été mises en œuvre pour établir immédiatement si une violation des données à caractère personnel s’est produite et pour informer rapidement l’autorité de contrôle et la personne concernée ".
152. La rapporteure relève que la société a pris connaissance de la violation de données à caractère personnel le 29 septembre 2020, lorsqu’un journaliste lui a communiqué un échantillon des données impactées, ou au plus tard le 30 septembre 2020, à l’issue de son enquête interne.
153. Selon elle, la violation de données était susceptible de présenter un risque pour les droits et libertés des personnes concernées, notamment compte tenu de la durée de la violation (deux mois et quatre jours) et du nombre potentiel de personnes concernées ( […] clients et prospects dans la base de données). 
154. Par conséquent, elle considère que l’existence de la violation de données à caractère personnel aurait dû être notifiée à la CNIL par la société, le cas échéant de manière échelonnée. 
155. En défense, la société reconnaît avoir appris l’existence de l’incident de sécurité le 29 septembre 2020. Elle indique toutefois que l’accès au serveur en cause était fermé depuis le 10 juillet 2020, ce qui a mis fin à l’incident de sécurité. 
156. Elle impute la responsabilité de cet incident de sécurité à son sous-traitant, en charge de l’infogérance. En effet, elle indique qu’après avoir demandé à son sous-traitant de donner l’accès à son serveur à son développeur, son sous-traitant a agi en dehors de ses instructions en rendant le serveur accessible à des tiers non autorisés. 
157. Enfin, la société conteste la volumétrie avancée par la rapporteure concernant les clients et prospects inscrits dans sa base de données. Elle considère que celle-ci comporte les adresses électroniques de […] clients et […] prospects.
158. La formation restreinte rappelle que, conformément à l’article 33 du RGPD, en cas de violation de données à caractère personnel, le principe est celui de la notification à l’autorité de contrôle. L’absence de notification n’est possible que par exception, lorsque la violation n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes. 
159. La formation restreinte rappelle également qu’en cas de violation de données à caractère personnel susceptible d’engendrer un risque pour les droits et libertés des personnes, le responsable du traitement est tenu de notifier cette violation à l’autorité de contrôle dans les meilleurs délais, et, si possible, 72 heures au plus tard après en avoir pris connaissance.
160. La formation restreinte indique, à titre d’illustration, que dans les lignes directrices sur la notification de violations de données à caractère personnel du 6 février 2018, le CEPD considère " qu’un responsable du traitement devrait être considéré comme ayant pris connaissance [de la violation de données à caractère personnel] lorsqu’il est raisonnablement certain qu’un incident de sécurité s’est produit et que cet incident a compromis des données à caractère personnel. Le RGPD exige du responsable du traitement qu’il mette en œuvre toutes les mesures de protection techniques et organisationnelles appropriées pour établir immédiatement si une violation des données à caractère personnel s’est produite et pour informer rapidement l’autorité de contrôle et les personnes concernées (…). Le responsable du traitement se voit ainsi tenu de prendre les mesures nécessaires pour s’assurer de prendre " connaissance " de toute violation dans les meilleurs délais afin de pouvoir réagir de façon appropriée ". 
161. À titre d’exemple, " un tiers informe un responsable du traitement qu’il a accidentellement reçu les données à caractère personnel de l’un de ses clients et fournit la preuve de cette divulgation non autorisée. Dès lors que le responsable du traitement a reçu des preuves claires attestant d’une violation de la confidentialité, il ne fait aucun doute qu’il en a pris " connaissance " ".
162. Toujours à titre d’illustration, le CEPD précise qu’" après avoir été informé d’une possible violation par un individu, par une organisation médiatique (…), le responsable du traitement peut mener une brève enquête afin de déterminer si une violation s’est effectivement produite. Lors de cette période d’enquête, le responsable du traitement peut ne pas être considéré comme ayant pris " connaissance ". Cette période d’enquête initiale devrait cependant débuter aussi rapidement que possible et déterminer avec un degré de certitude raisonnable si une violation s’est produite. Une enquête plus détaillée pourra alors suivre. "
163. En l’espèce, la formation restreinte note que l’accès au serveur en cause a été fermé par le sous-traitant de la société, sur demande de celle-ci, le 10 juillet 2020, car il n’était pas adapté à ses besoins.
164. La formation restreinte relève que la société a été alertée par courriel, le 29 septembre 2020, par un journaliste, de l’existence d’un incident de sécurité dû à l’ouverture d’un port de ce serveur qui n’aurait pas dû l’être. Elle note également que le journaliste a communiqué à la société, dans le cadre de son courriel, un échantillon de la base de données qui aurait été divulguée, à savoir des données d’identification et de contact.
165. Elle relève que la société a mené une brève enquête interne, le 30 septembre 2020, à l’issue de laquelle la société a conclu que l’incident de sécurité était imputable à son sous-traitant, en charge de l’infogérance, qui a ouvert accidentellement un port du serveur. 
166. Elle note que la société a répertorié l’incident de sécurité dans son registre des violations de données et identifié comme conséquences probables de la violation, " la revente des données entraînant la prospection sans consentement des personnes concernées par la violation ". 
167. La formation restreinte relève que la société n’a pourtant pas procédé à une notification auprès de la CNIL. La société le justifie par le fait qu’elle n’aurait pas été en mesure de constater la violation de données puisque l’alerte du journaliste est intervenue après la fermeture du serveur et que son sous-traitant, en charge de l’infogérance, n’a pas conservé les logs de connexion au serveur concerné. 
168. Selon la formation restreinte, la société n’a pas mis en œuvre toutes les mesures appropriées pour établir immédiatement l’existence de la violation de données à caractère personnel.
169. En effet, la formation restreinte estime que même si la société a été alertée de l’incident de sécurité après la fermeture du serveur, elle était en mesure d’identifier l’existence d’une violation de données, en confrontant l’échantillon des données communiqué par le journaliste à sa propre base de données.
170. Par ailleurs, la formation restreinte relève la tardiveté de la demande de communication des logs de connexion au sous-traitant puisque celle-ci n’est intervenue que le 25 novembre 2020, soit deux mois après l’alerte du journaliste.
171. Compte tenu des éléments évoqués ci-dessus, la formation restreinte considère que, au plus tard le 30 septembre 2020, date de l’enquête interne, la société avait un degré de certitude raisonnable de l’existence d’une violation de données engendrant un risque pour les droits et libertés des personnes concernées, notamment compte tenu de la durée de la violation (deux mois et quatre jours) et du nombre potentiel de personnes concernées, à savoir […] clients et prospects. 
172. La formation restreinte relève que la société, en qualité de responsable du traitement, avait l’obligation de notifier la survenance d’une violation de données même si la violation avait pour origine une erreur imputable au sous-traitant. 
173. Par conséquent, la formation restreinte considère que la société a manqué à ses obligations en ne notifiant pas la violation de données à la CNIL.
174. Il résulte de ce qui précède que la formation restreinte considère qu’un manquement à l’article 33 du RGPD est caractérisé.
J. Sur le manquement relatif à l’article 82 de la loi Informatique et Libertés
175. L’article 82 de la loi Informatique et Libertés dispose que " tout abonné ou utilisateur d'un service de communications électroniques doit être informé de manière claire et complète, sauf s'il l'a été au préalable, par le responsable du traitement ou son représentant :
1° De la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans son équipement terminal de communications électroniques, ou à inscrire des informations dans cet équipement ;
2° Des moyens dont il dispose pour s'y opposer […] ".
Ces accès ou inscriptions ne peuvent avoir lieu qu’à condition que l’abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son consentement qui peut résulter de paramètres appropriés de son dispositif de connexion ou de tout autre dispositif placé sous son contrôle (…) Ces dispositions ne sont toutefois pas applicables si l’accès aux informations stockées dans l’équipement terminal de l’utilisateur ou l’inscription d’informations dans l’équipement terminal de l’utilisateur : 1° Soit a pour finalité exclusive de permettre ou faciliter la communication par voie électronique ; 2° Soit est strictement nécessaire à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur ".
176. Ces dispositions transposent en droit français l’article 5, paragraphe 3, de la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques (dite " directive e-Privacy ").
177. En premier lieu, la rapporteure note que la délégation a constaté, lors du contrôle en ligne du 15 avril 2021, l’absence de bandeau ou d’interface d’information et consentement aux cookies lors de l’accès au site web [...] alors que certains cookies étaient déposés sur les terminaux des utilisateurs. 
178. Elle relève que, lors du contrôle sur place du 15 juillet 2021, la délégation a constaté la présence d’un bandeau cookies lors de l’accès à ce site web. 
179. Elle considère toutefois que l’information délivrée n’est pas satisfaisante et ne permet pas d’éclairer le consentement de la personne concernée puisqu’aucune information n’est fournie concernant la manière de refuser les traceurs, les conséquences qui s’attachent à un refus et l’existence du droit de retirer son consentement.
180. En défense, la société fait valoir que, depuis la notification du rapport, elle a édité un bandeau cookies conforme sur son site web.
181. La formation restreinte rappelle qu’il résulte des dispositions combinées des articles 82 de la loi Informatique et Libertés et 4 du RGPD que les traceurs nécessitant un recueil du consentement ne peuvent, sous réserve des exceptions prévues par ces dispositions, être utilisés en écriture ou en lecture qu’à condition que l’utilisateur ait manifesté à cette fin son consentement, de manière libre, spécifique, univoque et éclairée, par une action positive. 
182. La formation restreinte considère que la validité du consentement est donc notamment liée à la qualité de l’information reçue. 
183. À titre d’éclairage, la formation restreinte indique que dans les lignes directrices relatives à l’application de l’article 82 de la loi Informatique et Libertés aux opérations de lecture et écriture dans le terminal d’un utilisateur, la Commission précise, s’agissant du caractère éclairé du consentement, qu’ " a minima, la fourniture des informations suivantes aux utilisateurs, préalablement au recueil de leur consentement, est nécessaire pour assurer le caractère éclairé de ce dernier :
- l’identité du ou des responsables de traitement des opérations de lecture ou écriture ;
- la finalité des opérations de lecture ou écriture des données ;
- la manière d’accepter ou de refuser les traceurs ;
- les conséquences qui s’attachent à un refus ou une acceptation des traceurs ;
- l’existence du droit de retirer son consentement ".
184. La Commission précise, dans sa recommandation proposant des modalités pratiques de mise en conformité en cas de recours aux cookies et autres traceurs du 17 septembre 2020, qu’ " en pratique, afin de concilier les exigences de clarté et de concision des informations avec la nécessité d’identifier l’ensemble des responsables du ou des traitements, les informations spécifiques sur ces entités (identité, lien vers leur politique de traitement des données à caractère personnel), régulièrement mises à jour, peuvent par exemple être fournies à un second niveau d’information. Elles peuvent ainsi être mises à disposition depuis le premier niveau via, par exemple, un lien hypertexte ou un bouton accessible depuis ce niveau ". L’information relative à l’identité du ou des responsables de traitement des opérations de lecture ou d’écriture peut donc être fournie à un second niveau d’information.
185. La formation restreinte relève également que la Commission indique, à titre d’illustration, dans les questions-réponses sur les lignes directrices modificatives et la recommandation " cookies et autre traceurs " de la CNIL du 4 novembre 2022 qu’ " afin que le consentement de l’utilisateur soit éclairé, l’ensemble des informations rappelées à l’article 2 des lignes directrices " cookies et autres traceurs " doit être disponible au moment de recueillir son choix. Il est recommandé, sur le premier niveau d’information, d’indiquer clairement les finalités des cookies, de permettre à l’utilisateur d’accéder à la liste des responsables du ou des traitements via, par exemple, un lien hypertexte ou un bouton accessible depuis le premier niveau d’information, de l’informer sur la possibilité de retirer le consentement à tout moment et, lorsque c’est pertinent, des conséquences découlant d’un refus des cookies ".
186. La formation restreinte note qu’au jour du contrôle en ligne, le site web [...] ne comportait pas de bandeau d’information concernant les cookies déposés sur les terminaux des utilisateurs lors de leur accès au site web. Les utilisateurs n’étaient donc ni informés des opérations réalisées, ni en capacité d’y consentir préalablement, tel qu’exigé par l’article 82 de la loi Informatique et Libertés éclairé par l’article 4 du RGPD.
187. La formation restreinte relève que ce n’est que lors du contrôle sur place, le 15 juillet 2021, que la délégation a constaté, lors de l’accès à ce site web, la présence du bandeau cookies suivant: " Nous utilisons des cookies et d’autres technologies de suivi pour améliorer votre expérience de navigation sur notre site, pour vous montrer un contenu personnalisé et des publicités ciblées, pour analyser le trafic de notre site et pour comprendre la provenance de nos visiteurs " comportant les boutons " J’accepte " et " Changer mes préférences ".
188. Elle relève également qu’après avoir cliqué sur le bouton " Changer mes préférences ", l’utilisateur accède à l’information suivante : " Vous pouvez modifier vos préférences et refuser l’enregistrement de certains types de cookies sur votre ordinateur lors de la navigation sur notre site. Vous pouvez également supprimer les cookies déjà stockés sur votre ordinateur, mais gardez à l’esprit que leur suppression peut vous empêcher d’utiliser des éléments de notre site web ".
 
189. La formation restreinte relève que, lors du contrôle sur place, le 15 juillet 2021, le premier niveau d’information fourni aux utilisateurs ne leur permettait pas d’être informés de la possibilité et la manière de refuser les traceurs, ainsi que des conséquences qui s’attachent à un refus, ni du droit de retirer son consentement.
190. La formation restreinte note qu’au jour de la séance de la formation restreinte, lors de l’accès au site web [...], le bandeau cookies présent sur le site web comportait la mention suivante et les boutons " J’accepte ", " Je refuse " et " Changer mes préférences " : " Nous utilisons des cookies et d'autres technologies de suivi pour améliorer votre expérience de navigation sur notre site, pour vous montrer un contenu personnalisé et des publicités ciblées, pour analyser le trafic de notre site et pour comprendre la provenance de nos visiteurs ". 
191. En conséquence, la formation restreinte considère que les faits précités constituent un manquement à l’article 82 de la loi Informatique et Libertés, dès lors qu’au moment du contrôle en ligne et jusqu’à la modification du bandeau cookies, lors de l’accès au site web [...], les utilisateurs n’étaient pas informés de l’existence d’opérations permettant l’accès ou l’inscription d’informations dans leur terminal, conformément à l’article 82 de la loi Informatique et Libertés et l’article 4 du RGPD et donc en mesure d’y consentir de manière éclairée. 
192. En deuxième lieu, la rapporteure relève que la délégation a constaté, lors du contrôle en ligne du 15 avril 2021, que trois cookies, soumis au recueil préalable du consentement des utilisateurs, sont déposés sur les terminaux des utilisateurs dès leur accès au site web [...], avant toute action de sa part, sans que leur consentement soit préalablement recueilli.
193. En défense, la société fait valoir que, depuis la notification du rapport, aucun cookie non indispensable au fonctionnement du site n’est déposé sur le terminal de l’utilisateur.
194. La formation restreinte rappelle que l’article 82 de la loi Informatique et Libertés exige un consentement aux opérations de lecture et d’écriture d’informations dans le terminal d’un utilisateur mais prévoit des cas spécifiques dans lesquels certains traceurs bénéficient d’une exemption au consentement : soit lorsque celui-ci a pour finalité exclusive de permettre ou faciliter la communication par voie électronique, soit lorsqu’il est strictement nécessaire à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur.
195. S’agissant des traceurs de mesure d’audience exemptés du recueil du consentement, la formation restreinte relève, à titre illustratif, que la Commission précise, dans ses lignes directrices du 17 septembre 2020, que " ces mesures sont dans de nombreux cas indispensables au bon fonctionnement du site ou de l’application et donc à la fourniture du service. En conséquence, la Commission considère que les traceurs dont la finalité se limite à la mesure de l’audience du site ou de l’application, pour répondre à différents besoins (mesure des performances, détection de problèmes de navigation, optimisation des performances techniques ou de l’ergonomie, estimation de la puissance des serveurs nécessaires, analyse de contenus consultés, etc.) sont strictement nécessaires au fonctionnement et aux opérations d’administration courante d’un site web (…) Afin de se limiter à ce qui est strictement nécessaire à la fourniture du service, la Commission souligne que ces traceurs doivent avoir une finalité strictement limitée à la seule mesure de l’audience sur le site ou l’application pour le compte exclusif de l’éditeur ".
196. S’agissant des traceurs à multi-finalités, la formation restreinte relève, toujours à titre illustratif, que la Commission précise, dans ses lignes directrices du 17 septembre 2020, que " l’utilisation d’un même traceur pour plusieurs finalités, dont certaines n’entrent pas dans le cadre de ces exemptions, nécessite de recueillir préalablement le consentement des personnes concernées, dans les conditions rappelées par les présentes lignes directrices. À titre d’exemple, dans le cas d’un service offert via une plate-forme nécessitant l’authentification des usagers (" univers logué "), l’éditeur du service pourra utiliser un cookie pour authentifier les utilisateurs sans demander leur consentement (car ce cookie est strictement nécessaire à la fourniture du service de communication en ligne). En revanche, il ne pourra utiliser ce même cookie pour des finalités publicitaires que si ces derniers ont effectivement consenti préalablement à cette finalité spécifique ". 
197. La formation restreinte considère qu’afin de déterminer si l’inscription d’un cookie multi-finalités sur le terminal des utilisateurs nécessite le recueil préalable de leur consentement, il convient de déterminer si parmi les finalités, au moins l’une d’entre elles nécessite le recueil préalable du consentement.
198. En l’espèce, la formation restreinte note que la société procède au dépôt et à la lecture des cookies suivants sur les terminaux des utilisateurs, dès leur accès au site web [...], avant toute action de leur part, sans recueil préalable de leur consentement : le cookies " test_cookie ", " .ga " et " .gid ". 
199. S’agissant du cookie " test_cookie ", la formation restreinte relève qu’il poursuit une finalité publicitaire. Dès lors, il ne relève d’aucune des exceptions définies à l’article 82 de la loi Informatique et Libertés et ne peut être déposé sur le terminal de l’utilisateur sans recueil préalable de son consentement.
200. S’agissant des cookies " .ga " et " .gid ", la formation restreinte note qu’ils poursuivent plusieurs finalités, à savoir une finalité relative au suivi et à l’analyse de site web […] et une finalité propre à Google concernant le maintien et la protection du service Analytics. Dès lors, ces cookies n’ont pas pour finalité exclusive de permettre ou de faciliter la communication par voie électronique et ne sont pas strictement nécessaires à la fourniture du service. Par conséquent, ils ne relèvent d’aucune des exceptions définies à l’article 82 de la loi Informatique et Libertés et ne peuvent être déposés sur le terminal de l’utilisateur sans recueil préalable de son consentement.