AgentPublic/cnil huggingface dataset:
97. Enfin, s’agissant de la publicité de la sanction, la société souligne qu’elle a déjà été très exposée médiatiquement en 2019 pour les mêmes faits. Elle considère qu’une sanction publique provoquerait une nouvelle vague médiatique préjudiciable à son image.
98. En premier lieu, la formation restreinte relève que le manquement à l’obligation d’informer les personnes concernées a porté atteinte aux droits de ces dernières, dans la mesure où, n’ayant pas connaissance de ce que leurs données à caractère personnel étaient traitées par la société, ces personnes n’ont pas été mises en mesure de contrôler l’utilisation de leurs données dans ce cadre. Elle rappelle que l’obligation d’information constitue est une mesure centrale de protection des personnes, dans la mesure où elle permet l’exercice des droits. Elle note d’ailleurs que l’article 83(5) du RGPD prévoit que la méconnaissance de cette obligation peut être sanctionnée à hauteur de 20 millions d’euros ou de 4% de chiffre d’affaires, ce qui constitue le plafond d’amende le plus élevé.
99. En outre, la formation restreinte note qu’il n’a été mis fin au manquement que plusieurs années après la mise en œuvre du traitement en cause et uniquement après que plusieurs médias ont révélé l’existence du fichier litigieux.
100. La formation restreinte considère ensuite que le fait pour la société X de ne pas avoir encadré par un acte juridique le traitement réalisé pour son compte par la société Y a contribué à accentuer le fait que les données à caractère personnel des personnes traitées dans ce cadre n’aient pas bénéficié de la protection offerte par le RGPD. En effet, l’article 28 du RGPD apporte différentes garanties concrètes en matière de protection des données, en prévoyant par exemple la mise en place de mesures de sécurité ou l’aide devant être apportée par le sous-traitant au responsable de traitement en matière d’exercice des droits.
101. En conséquence, la formation restreinte considère qu’il y a lieu de prononcer une amende administrative au regard des manquements aux articles 14 et 28 du RGPD.
102. En deuxième lieu, la formation restreinte rappelle qu’aux termes de l’article 83(1), les amendes prononcées doivent être effectives, proportionnées et dissuasives. Elle considère en particulier que la situation financière de la société doit être prise en compte pour la détermination de la sanction et notamment, en cas d’amende administrative, de son montant. Elle relève à ce titre que la société fait état d’un chiffre d’affaires pour l’année 2018 d’environ 12 milliards d’euros. En outre, elle observe que le traitement en cause a notamment été mis en œuvre dans l’objectif de défendre les intérêts économiques de la société. Au vu de ces éléments, la formation restreinte considère que le prononcé d’une amende de 400 000 euros apparaît justifié.
103. En dernier lieu, la formation restreinte considère que la publicité de la sanction se justifie au regard de la nature manquements relevés, de leur durée et de leur gravité. Elle estime par ailleurs que cette mesure permettra d’informer les personnes concernées des manquements sanctionnés, dans la mesure notamment où ces faits ont fait l’objet de plusieurs plaintes.
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide de :
• prononcer à l’encontre de la société X une amende administrative d’un montant de 400 000 (quatre cent mille) euros ;
• rendre publique, sur le site de la CNIL et sur le site de Légifrance, sa délibération, qui n’identifiera plus nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.
Le président
Alexandre LINDEN
Cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’État dans un délai de quatre mois à compter de sa notification.
Délibération de la formation restreinte no SAN-2021-013 concernant la SOCIETE [...]
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de Messieurs Alexandre LINDEN, président, Philippe-Pierre CABOURDIN, vice-président, de Mesdames Anne DEBET et Christine MAUGÜE et de Messieurs Alain DRU et Bertrand du MARAIS, membres ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;
Vu la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques, telle que modifiée par la directive 2009/136/CE du Parlement européen et du Conseil, du 25 novembre 2009 ;
Vu la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;
Vu le décret no 2019-536 du 29 mai 2019 pris pour l'application de la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la saisine n° 18016566 ;
Vu la décision no 2020-008C du 27 décembre 2019 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification de tout traitement accessible à partir du domaine "[...].fr " ou portant sur des données à caractère personnel collectées à partir de ce dernier ;
Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte du 21 décembre 2020 ;
Vu le rapport de Madame Valérie PEUGEOT, commissaire rapporteure, notifié à la SOCIETE [...] le 1er avril 2021 ;
Vu les observations écrites versées par la SOCIETE [...] le 17 mai 2021 ;
Vu la réponse de la rapporteure à ces observations notifiée à la SOCIETE [...] le 7 juin 2021 ;
Vu les observations écrites versées par la SOCIETE [...] le 25 juin 2021 ;
Vu les observations orales formulées lors de la séance de la formation restreinte ;
Vu les autres pièces du dossier ;
Étaient présents, lors de la séance de la formation restreinte du 8 juillet 2021 :
- Madame Valérie PEUGEOT, commissaire, entendue en son rapport ;
En qualité de représentants de la SOCIETE [...] :
- […] ;
- […] ;
- […] ;
- […] ;
- […].
La SOCIETE [...] ayant eu la parole en dernier ;
La formation restreinte a adopté la décision suivante :
I. Faits et procédure
1. La SOCIETE [...] (ci-après "la société "), dont le siège social est situé 14 boulevard Haussmann à Paris (75009), est une filiale du groupe [...], qui a pour principale activité l’édition de journaux, en versions papier et numérique. Créée en 1856, elle compte 670 salariés.
2. Pour les besoins de son activité, la société édite notamment le site web d’actualités www.[...].fr (ci-après "le site [...].fr ") sur lequel des espaces publicitaires sont commercialisés auprès d’annonceurs.
3. Le site dispose d’une offre gratuite, permettant de rendre certains contenus accessibles à tout internaute. Il dispose également d’une offre payante, pour laquelle la société indique qu’elle permet à l’internaute d’accéder à l’ensemble des contenus publiés sur le site, de se connecter à son espace personnel et de bénéficier d’un "affichage publicitaire limité ".
4. Pour l’année 2019, la SOCIETE [...] a réalisé un chiffre d’affaires de […] euros pour un résultat […] euros. Le nombre de visiteurs par mois, pour les douze derniers mois, du site [...].fr en France métropolitaine, était de l’ordre de […]. Le nombre d’abonnés numériques au 1er décembre 2020 était de […]. […].
5. Le 16 août 2018, la Commission nationale de l’informatique et des libertés (ci-après "la CNIL " ou "la Commission ") a été saisie d’une plainte n° 18016566 d’une utilisatrice du site [...].fr. La plaignante faisait notamment état du dépôt de cookies sur son terminal avant toute action de sa part sur le site [...].fr et sans recueil de son consentement.
6. Pour les besoins de l’instruction de la plainte et afin de vérifier les éléments de réponse apportés par la société au cours de la procédure, cinq opérations de contrôle en ligne du site [...].fr ont été effectuées en application de la décision n° 2020-008C du 27 décembre 2019 de la présidente de la CNIL. Ces missions ont été réalisées respectivement les 14 janvier 2020, 9 septembre 2020, 25 novembre 2020, 18 février 2021 et 1er juin 2021.
7. Ces missions ont notamment eu pour objet de vérifier la conformité aux dispositions de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après "la loi Informatique et Libertés ") de tout traitement accessible à partir du domaine [...].fr ou portant sur des données à caractère personnel collectées à partir de ce dernier. Il s’agissait plus précisément de procéder à des investigations en lien avec les opérations de lecture ou d’écriture d’informations dans le terminal des internautes à partir du site [...].fr.
8. Au cours des deux premiers contrôles, la délégation de la CNIL s’est principalement attachée à vérifier à quel moment des cookies étaient déposés sur le terminal de l’utilisateur à partir du site [...].fr, quelle était la finalité de chacun des cookies déposés, quelles informations étaient délivrées aux utilisateurs en lien avec ces cookies et, enfin, quel dispositif était mis en œuvre pour permettre à l’utilisateur de refuser leur dépôt lorsque celui-ci se rend sur la page d’accueil de ce site.
9. A l’issue de ces contrôles, les procès-verbaux n° 2020-008/1 et n° 2020-008/2 ont été notifiés à la SOCIETE [...] par courriers datés respectivement du 17 janvier et du 10 septembre 2020. La société a transmis aux services de la Commission, par courriels des 5 février et 5 octobre 2020, les pièces complémentaires sollicitées à l’issue de ces missions de contrôle.
10. Au regard des réponses apportées le 5 octobre 2020 par la société, indiquant notamment, en lien avec les modalités de suppression des cookies, qu’un "rechargement de page (ou la navigation vers une autre page) est nécessaire, afin que les déposants puissent supprimer les cookies ", un nouveau contrôle a été diligenté le 25 novembre 2020 afin d’effectuer les mêmes constatations en vérifiant les conséquences d’un rechargement de la page ou d’une navigation vers une autre page du site après avoir retiré son consentement au dépôt des cookies.
11. A l’issue de ce contrôle, le procès-verbal n° 2020-008/3 a été notifié à la SOCIETE [...] par courrier du 25 novembre 2020. La société a transmis aux services de la Commission, par courriel du 18 décembre 2020, les pièces sollicitées à l’issue de cette mission de contrôle.
12. Aux fins d’instruction de l’ensemble de ces éléments, la présidente de la Commission a, le 21 décembre 2020, désigné Madame Valérie PEUGEOT en qualité de rapporteure sur le fondement de l’article 22 de la loi du 6 janvier 1978 modifiée.
13. Par courriel du 13 janvier 2021, la SOCIETE [...] a adressé une demande d’audition à la rapporteure, qui y a répondu en indiquant qu’elle n’apparaissait pas nécessaire à ce stade.
14. De nouvelles investigations ont été diligentées le 18 février 2021, pour compléter les constatations précédemment effectuées le 25 novembre 2020, afin de vérifier les conséquences d’une navigation vers une autre page du site lorsque l’utilisateur a refusé de consentir au dépôt des cookies dès son arrivée sur le site [...].fr (les constations précédentes concernant l’hypothèse d’un retrait ultérieur de consentement).
15. A l’issue de ce contrôle, le procès-verbal n° 2020-008/4 a été notifié à la SOCIETE [...] par courrier du 25 février 2021. La société a transmis aux services de la Commission, par courriel du 12 mars 2021, les pièces sollicitées lors de cette mission de contrôle.
16. A l’issue de son instruction, la rapporteure a, le 1er avril 2021, fait notifier à la SOCIETE [...] un rapport détaillant le manquement à l’article 82 de la loi "Informatique et Libertés " qu’elle estimait constitué en l’espèce et indiquant à la société qu’elle disposait d’un délai d’un mois pour communiquer ses observations écrites en application des dispositions de l’article 40 du décret n° 2019-536 du 29 mai 2019. Le courrier de notification du rapport comportait également une convocation à la séance de la formation restreinte du 3 juin 2021.
17. Ce rapport proposait à la formation restreinte de la Commission de prononcer à l’encontre de la SOCIETE [...] une amende administrative au regard du manquement constitué à l’article 82 de la loi "Informatique et Libertés ". Il proposait également que cette décision soit rendue publique, mais qu’il ne soit plus possible d’identifier nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.
18. Par courriel du 23 avril 2021, la SOCIETE [...] a sollicité une extension du délai d’un mois prévu par l’article 40 du décret n° 2019-536 du 29 mai 2019 pour produire ses observations. Cette demande a été acceptée par le président de la formation restreinte par courriel du 27 avril 2021.
19. Le 17 mai 2021, la société a produit ses observations en réponse au rapport de sanction.
20. Au regard des observations soulevées par la société dans cette réponse, selon lesquelles la délégation de contrôle n’avait effectué ses vérifications qu’à partir d’un navigateur Firefox et, qu’en conséquence, aucun manquement ne pourrait être retenu s’agissant d’un internaute se rendant sur le site [...].fr au moyen du navigateur Chrome, de nouvelles investigations ont été diligentées le 1er juin 2021.
21. Le 31 mai 2021, la rapporteure a sollicité un délai pour répondre aux observations formulées par la SOCIETE [...]. Par courriel du 1er juin 2021, le président de la formation restreinte a avisé la rapporteure qu’elle bénéficiait d’un délai supplémentaire de six jours pour produire ses observations. Par courrier du 1er juin 2021, la société a été avisée qu’elle bénéficiait également d’un délai supplémentaire de six jours et que, dès lors, la séance de la formation restreinte initialement prévue le 3 juin 2021 était reportée.
22. Par courrier daté du 7 juin 2021, la réponse de la rapporteure aux observations de la société lui a été adressée, accompagnée d’une nouvelle convocation à la séance de la formation restreinte du 8 juillet 2021.
23. Le 25 juin 2021, la SOCIETE [...] a produit de nouvelles observations en réponse à celles de la rapporteure.
24. La SOCIETE [...] et la rapporteure ont présenté des observations orales lors de la séance de la formation restreinte du 8 juillet 2021.
II. Motifs de la décision
A. Sur le respect des droits de la défense
25. La société soutient que la procédure suivie par la CNIL ne respecte pas les droits de la défense et le principe du contradictoire, tel que garanti par l’article 6 de la Convention européenne des droits de l’homme et l’article 16 de la Déclaration des droits de l’homme et du citoyen.
1. […]
26. […].
27. […].
28. […].
29. […].
2. Sur l’absence de mise en demeure préalable
30. La société fait valoir que les règles en matière de cookies et les responsabilités des différents acteurs qui y sont liées ne sont pas suffisamment claires pour engager directement une procédure de sanction, de sorte que cette dernière fait grief à la présidente de la CNIL de ne pas l’avoir préalablement mise en demeure de corriger les manquements à l’origine des faits litigieux.
31. En premier lieu, s’agissant du grief relatif à l’absence de mise en demeure préalable, la formation restreinte relève d’abord qu’il ressort des dispositions de l’article 20 de la loi "Informatique et Libertés " modifiée par la loi n° 2018-493 du 20 juin 2018 que l’autorité de contrôle dispose d’un ensemble de mesures correctrices, adaptées selon les caractéristiques propres à chaque cas, qui peuvent être combinées entre elles et être précédées ou non d’une mise en demeure. Les mesures correctrices peuvent être prises directement dans tous les cas.
32. La formation restreinte relève également que dans sa décision n° 2018-765 du 12 juin 2018, le Conseil constitutionnel n’a pas émis de réserve s’agissant de la possibilité pour le président de la CNIL d’engager une procédure de sanction sans mise en demeure préalable. Enfin, la formation restreinte rappelle que le Conseil d’État a jugé (CE, 9 octobre 2020, Société SERGIC, n° 433311) qu’il "résulte clairement [des dispositions de l’article 20 de la loi du 6 janvier 1978 modifiée], que le prononcé d’une sanction par la formation restreinte de la CNIL n’est pas subordonné à l’intervention préalable d’une mise en demeure du responsable du traitement ou de son sous-traitant par le président de la CNIL […] ".
33. En second lieu, s’agissant du grief relatif à l’absence de clarté des règles en matière de cookies et de responsabilité des acteurs, la formation restreinte souligne d’abord, en synthèse et comme développé aux points 48 à 62, que les différentes branches du manquement reproché à la société ont pour seul fondement juridique les dispositions de l’article 82 de la loi "Informatique et Libertés " dont le contenu est inchangé depuis dix ans.
34. La formation restreinte souligne ensuite que les pratiques à l’origine des différentes branches du manquement reproché en l’espèce à la société ont été continuellement considérées comme non conformes par la CNIL et que l’existence d’une responsabilité de l’éditeur du site a fait l’objet d’une décision du Conseil d’État, qui précise le périmètre de cette responsabilité (CE, 6 juin 2018, Éditions Croque Futur, n° 412589, Rec.).
35. La formation restreinte relève enfin que sur la base de ces dispositions, elle a déjà adopté plusieurs décisions de sanction.
36. […].
3. Sur la régularité de la présente procédure
37. En premier lieu, la société fait valoir, d’une part, que la rapporteure a refusé la demande d’audition qu’elle lui avait adressée le 13 janvier 2021 et, d’autre part, que la présidente de la CNIL lui a également apporté une réponse défavorable à une demande d’entretien sollicitée le 10 février 2021.
38. S’agissant de la demande d’audition, la formation restreinte relève que la rapporteure y a répondu en expliquant les raisons pour lesquelles elle n’apportait pas une suite favorable à cette demande. La rapporteure a ainsi indiqué qu’elle disposait, au jour de sa réponse, des informations nécessaires à sa compréhension du dossier et qu’elle s’estimait suffisamment éclairée par les investigations réalisées par les services de la CNIL. La formation restreinte rappelle à cet égard que l’audition de l’organisme par le rapporteur est une faculté qui lui est offerte par l’article 39 du décret n° 2019-536 du 29 mai 2019, et non une obligation.
39. S’agissant de la demande adressée à la présidente de la CNIL, la formation restreinte considère qu’il ne lui appartient pas de commenter la décision de la présidente.
40. En deuxième lieu, la société fait valoir que la plainte à l’origine de la procédure n’a pas fait l’objet d’une instruction de la part des services de la CNIL puisque ces derniers n’ont pas effectué de contrôle en ligne avant de solliciter ses observations dans le cadre de l’instruction de cette plainte.
41. La formation restreinte relève qu’il ressort des dispositions de l’article 8, I, 2° d) et g) de la loi "Informatique et Libertés " que la CNIL peut décider à la suite de la réception d’une saisine, en opportunité et en fonction des circonstances de l’espèce, d’effectuer un contrôle ou d’adresser immédiatement un courrier à l’organisme afin de solliciter ses observations. Il n’est en aucun cas obligatoire que des vérifications formelles soient faites par une délégation de contrôle de la CNIL en application de l’article 19 de la loi précitée pour pouvoir procéder à l’instruction d’une plainte dont elle est saisie.
42. En troisième lieu, la société estime que la présidente de la CNIL n’aurait pas tenu compte des éléments de réponse apportés le 18 décembre 2020 par la société aux demandes complémentaires de la délégation de contrôle, puisqu’elle a été informée seulement trois jours plus tard, soit le 21 décembre 2020, de la saisine de la formation restreinte et de la désignation d’un rapporteur en vue du prononcé d’une éventuelle mesure correctrice.
43. La formation restreinte relève d’abord que la décision de la présidente de la CNIL de saisir la formation restreinte - en application de l’article 20 III de la loi "Informatique et Libertés " - et de désigner un rapporteur – conformément à l’article 39 du décret n° 2019-536 du 29 mai 2019 - est prise en tenant compte de l’ensemble des éléments recueillis au cours de la procédure (procès-verbaux de contrôle, pièces, constatations, courriers en réponse aux demandes complémentaires de la délégation de contrôle, etc.) et pas uniquement du seul courrier du 18 décembre 2020, qui a toutefois, selon la rapporteure, été dûment analysé au même titre que l’ensemble des éléments de la procédure.
44. La formation restreinte rappelle ensuite que sa saisine ne constitue pas l’aboutissement de la procédure et qu’elle ne préjuge pas du prononcé d’une mesure correctrice par celle-ci. En effet, les textes applicables organisent la tenue d’une procédure contradictoire, dans le cadre de laquelle l’organisme concerné peut faire valoir ses observations. L’article 40 du décret n° 2019-536 du 29 mai 2019 prévoit ainsi que le mis en cause à qui est notifié un rapport proposant une sanction dispose tout d’abord d’un délai d’un mois pour transmettre ses observations à la formation restreinte et au rapporteur. Lorsque les circonstances de l’espèce ou la complexité de l’affaire le justifient, le président de la formation restreinte peut décider, sur demande du mis en cause, de prolonger, dans la limite d’un mois, ce délai. Ce même article octroie ensuite au responsable de traitement un second délai, d’au moins quinze jours, pour répondre aux observations en réponse du rapporteur. Ces délais sont de nature à garantir le respect des droits de la défense. Enfin, le responsable de traitement peut présenter des observations orales lors de la séance devant la formation restreinte.
45. Dans le cas d’espèce, la formation restreinte considère que la procédure suivie n’a pas privé la société de son droit de se défendre, les dispositions précitées ayant été appliquées. La société a bénéficié d’un délai de plus de cinq semaines pour produire ses observations, le président de la formation restreinte ayant accepté de lui accorder un délai supplémentaire, puis elle a disposé d’un nouveau délai pour produire de nouvelles observations écrites en réponse à celles de la rapporteure et elle a enfin eu la faculté de s’exprimer de nouveau lors de la séance devant la formation restreinte.
46. En dernier lieu, la société fait valoir que la multiplication des contrôles en ligne menés dans le cadre de la procédure a entravé sa capacité à se défendre efficacement. Elle explique que ces nombreux contrôles ont entraîné une situation d’asphyxie et qu’elle n’a plus été en mesure d’assurer sa défense dans des conditions normales. Elle considère donc être placée dans une situation de net désavantage par rapport à la CNIL.