AgentPublic/cnil huggingface dataset:
18. L’article 3, paragraphe 2, a) du RGPD dispose que " Le présent règlement s’applique au traitement des données à caractère personnel relatives à des personnes concernées qui se trouvent sur le territoire de l’Union par un responsable du traitement ou un sous-traitant qui n’est pas établi dans l’Union, lorsque les activités de traitement sont liées : 
a) à l’offre de biens ou de services à ces personnes concernées dans l’Union, qu’un paiement soit exigé ou non desdites personnes […] ". 
19. La société […] traite des données à caractère personnel des utilisateurs (ci-après " les traitements en cause ") lorsqu’ils créent un compte […] et pour la fourniture des fonctionnalités permises par le logiciel.
20. La formation restreinte relève, sans que ceci soit contesté par la société dans le cadre de la présente procédure, que […] traite des données à caractère personnel d’utilisateurs situés en France. Selon les éléments transmis par la société lors de la procédure de contrôle, […] dénombrait plus de […] utilisateurs en France en janvier 2021. En outre, il ressort du procès-verbal de constatations en ligne du 17 novembre 2020 que, tant sur ordinateur à partir de l’URL " […] " que sur l’application […] sur téléphone portable, toutes les pages sont accessibles en langue française, à l’exception de la politique de confidentialité qui était disponible en anglais uniquement au moment des constations en ligne, mais qui est dorénavant accessible en français. Par ailleurs que les différents traitements mis en œuvre par la société […] par le biais de son site web et de son application sont directement liés à l’offre de services qu’elle propose. Il s’agit par exemple des traitements en lien avec la création d’un compte, la fourniture de la plateforme de messagerie et du réseau social […] ou les achats réalisés. Enfin, la politique de confidentialité de la société […] fait référence au RGPD et la société […] a été désignée en qualité de représentante au titre de l’article 27 du RGPD.
21. En conséquence, la formation restreinte retient que les traitements en cause concernent une offre de services destinée à des personnes résidant dans l’Union européenne et en déduit que ces traitements sont soumis au RGPD en application de l’article 3, paragraphe 2, a) de ce Règlement.
B. Sur la compétence de la CNIL
22. L’article 55, paragraphe 1, du RGPD dispose que " chaque autorité de contrôle est compétente pour exercer les missions et les pouvoirs dont elle est investie conformément au présent règlement sur le territoire de l’État membre dont elle relève ".
23. L’article 56, paragraphe 1, du RGPD dispose quant à lui que, " sans préjudice de l’article 55, l’autorité de contrôle de l’établissement principal ou de l’établissement unique du responsable du traitement ou du sous-traitant est compétente pour agir en tant qu’autorité de contrôle chef de file concernant le traitement transfrontalier effectué par ce responsable du traitement ou ce sous-traitant, conformément à la procédure prévue à l’article 60 ".
24. Par ailleurs, aux termes de l’article 16 de la loi Informatique et Libertés, " la formation restreinte prend les mesures et prononce les sanctions à l'encontre des responsables de traitements ou des sous-traitants qui ne respectent pas les obligations découlant du règlement (UE) 2016/679 du 27 avril 2016 et de la présente loi […] ".
25. La formation restreinte relève, sans que ceci soit contesté par la société dans le cadre de la présente procédure, que le mécanisme du " guichet unique " prévu par l’article 56 du RGPD n’a pas vocation à s’appliquer en l’espèce, la société […] ne disposant pas d’établissement sur le territoire d’un État membre de l’Union européenne. Dès lors, chaque autorité de contrôle nationale est compétente pour contrôler le respect du RGPD sur le territoire de l’État membre dont elle relève conformément à l’article 55 du Règlement, pour les traitements mis en œuvre par […] visant des personnes résidant sur ce territoire. La CNIL est ainsi compétente pour contrôler la conformité au RGPD des traitements mis en œuvre par […] visant des personnes résidant sur le territoire français.
C. Sur le manquement à l’obligation de définir et de respecter une durée de conservation des données proportionnée à la finalité du traitement 
26. Aux termes de l’article 5, paragraphe 1, e), du RGPD, les données à caractère personnel doivent être " conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées […] ".
27. La rapporteure relève que la société n’a pas défini de politique de durée de conservation des données et que son registre des activités de traitements ne mentionne aucune durée de conservation des données à caractère personnel traitées. Ainsi, les données sont conservées depuis plus de six ans, date à laquelle le service […] a été lancé, la société ne procédant à aucun effacement ou archivage régulier des données à l’issue d’une période définie. Elle note qu’il existe au sein de la base de données […] 2 474 000 millions de comptes d’utilisateurs français n’ayant pas utilisé leur compte depuis plus de trois ans et 58 000 comptes non utilisés depuis plus de cinq ans, sans que la société ait fourni d’explication ou de justification particulière quant à la conservation de ces comptes inactifs.
28. La rapporteure rappelle que le référentiel de la CNIL relatif aux traitements de données à caractère personnel mis en œuvre aux fins de gestion des activités commerciales du 3 février 2022 précise - s’agissant des activités commerciales impliquant la création d’un compte en ligne par les clients - que les données ont vocation à être conservées jusqu’à la suppression du compte par l’utilisateur. Toutefois, il souligne qu’il est fréquent que les utilisateurs n’utilisent plus ces comptes sans pour autant les effacer, ce qui les conduit à perdurer indéfiniment. Dans ce cas, la Commission recommande que les comptes soient considérés comme inactifs au bout de deux ans et soient supprimés à l’issue de ce délai, sauf si l’utilisateur exprime le souhait de maintenir son compte actif. 
29. En défense, la société indique qu’elle n’avait pas de politique écrite de conservation des données en février 2021, mais soutient qu’elle était toutefois en conformité avec l’article 5 du RGPD, puisqu’elle avait déterminé et mis en œuvre des durées de conservation directement codées dans le service […] en tant que tel. Elle indique que la durée de conservation mise en œuvre correspond à la durée de la relation contractuelle avec ses utilisateurs, ainsi qu’à des durées déterminées en fonction de ses obligations légales et de ses obligations en matière de sécurité qu’elle est tenue de respecter sans pour autant les préciser.
30. En outre, la société soulève l’inopposabilité des recommandations de la CNIL, en particulier du référentiel de la CNIL du 3 février 2022, lequel est postérieur au contrôle en ligne réalisé le 17 novembre 2020 et réserve l’hypothèse " pour les activités commerciales qui impliquent la création d’un compte en ligne par les clients (par exemple, les sites de rencontres ou les réseaux sociaux), [où] les données peuvent être conservées jusqu’à la suppression du compte par l’utilisateur ". La société souligne également la nature spécifique du Service […], qui est un service de communication impliquant de maintenir les comptes dits inactifs dans l’intérêt même des utilisateurs. 
31. La formation restreinte relève que, dans le cadre de la procédure de contrôle, la société a indiqué : " […] n’a pas de politique de conservation des données écrite. […] La société […] développe actuellement une politique de conservation des données pour supprimer des comptes inactifs lorsque la société peut conclure que l’utilisateur a abandonné son compte ". À cet égard, le registre des activités de traitements communiqué par la société lors de la procédure de contrôle ne mentionne aucune durée de conservation des données à caractère personnel traitées.
32. Les constatations effectuées par la délégation de contrôle de la CNIL confirment qu’il existait, au sein de la base de données […] 2 474 000 comptes d’utilisateurs français n’ayant pas utilisé leur compte depuis plus de trois ans et 58 000 comptes non utilisés depuis plus de cinq ans. 
33. La formation restreinte rappelle que l’obligation de ne conserver les données " pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées […] " résulte de l’article 5, paragraphe 1, e) du RGPD qui est une disposition impérative. La Commission considère de manière constante que la conservation de comptes en ligne créés gratuitement sans action des utilisateurs au-delà d’une certaine durée conduit à conserver des données de manière illimitée, en méconnaissance du RGPD. La formation restreinte considère que la société ne saurait se prévaloir en l’espèce du maintien d’une relation contractuelle pour conserver indéfiniment des comptes d’utilisateurs totalement inactifs, mais qui ne se seraient pas désinscrits, dès lors que le compte a été créé gratuitement et qu’un utilisateur inactif qui souhaiterait utiliser à nouveau le service peut le faire en recréant un compte à tout moment. 
34. Ainsi, la formation restreinte considère que la société a méconnu ses obligations résultant de l’article 5, paragraphe 1, e) du RGPD, la nature du service offert aux utilisateurs étant inopérante.
35. Elle prend néanmoins acte de ce que la société […] dispose désormais d’une politique de durée de conservation des données à caractère personnel traitées écrite, laquelle prévoit notamment la suppression des comptes après deux ans d’inactivité de l’utilisateur. La formation restreinte considère dès lors que la société s’est mise en conformité avec les obligations découlant de l’article 5, paragraphe 1, e) du RGPD. 
D. Sur le manquement à l’obligation de transparence
36. L’article 12, paragraphe 1, du RGPD dispose que " le responsable du traitement prend des mesures appropriées pour fournir toute information visée aux articles 13 et 14 ainsi que pour procéder à toute communication au titre des articles 15 à 22 et de l'article 34 en ce qui concerne le traitement à la personne concernée d'une façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples, en particulier pour toute information destinée spécifiquement à un enfant ".
37. La rapporteure a relevé que, dans le cadre du contrôle diligenté le 17 novembre 2020, la délégation de la CNIL a constaté qu’après avoir cliqué sur le lien intitulé " Confidentialité " situé dans le pied de page, une page s’ouvrait dans le navigateur, libellée en ces termes " […] PRIVACY POLICY ". Si la " privacy policy " était aisément accessible à partir du formulaire d’inscription, elle était uniquement disponible en langue anglaise, dans sa version datée du 23 juin 2020 au moment du contrôle en ligne.
38. En défense, la société précise que la politique de confidentialité était déjà communiquée aux utilisateurs en français au moment du contrôle de la CNIL. Toutefois, un problème technique s’étant produit le 16 novembre 2020 a temporairement empêché la traduction française de la politique de confidentialité d’apparaître sur le site web lors du contrôle. Elle ajoute avoir identifié le problème technique et rapidement mis en œuvre les mesures nécessaires pour le résoudre, précisant que la version française de la politique de confidentialité est redevenue accessible le 3 décembre 2020. 
39. Au vu de ces éléments, la rapporteure propose à la formation restreinte de ne pas retenir le manquement à l’article 12 du RGPD. 
40. La formation restreinte prend acte des éléments apportés par la société et estime que ce manquement n’est pas constitué. 
E. Sur le manquement à l’obligation d’information des personnes
41. L’article 13 du RGPD dresse la liste des informations devant être communiquées par le responsable de traitement aux personnes concernées lorsque leurs données à caractère personnel sont collectées directement auprès d’elles. L’article 13, paragraphe 2, du RGPD dispose qu’" en plus des informations visées au paragraphe 1, le responsable du traitement fournit à la personne concernée, au moment où les données à caractère personnel sont obtenues, les informations complémentaires suivantes qui sont nécessaires pour garantir un traitement équitable et transparent :
a) la durée de conservation des données à caractère personnel ou, lorsque ce n'est pas possible, les critères utilisés pour déterminer cette durée […] ".
42. Les lignes directrices sur la transparence au sens du règlement (UE) 2016/679, venant éclairer les dispositions de l’article 13, précisent que " la durée de conservation […] devrait être formulée de manière à ce que la personne concernée puisse évaluer, selon la situation dans laquelle elle se trouve, quelle sera la période de conservation s’agissant de données spécifiques ou en cas de finalités spécifiques. Le responsable du traitement ne peut se contenter de déclarer de façon générale que les données à caractère personnel seront conservées aussi longtemps que la finalité légitime du traitement l’exige. Le cas échéant, différentes périodes de stockage devraient être mentionnées pour les différentes catégories de données à caractère personnel et/ou les différentes finalités de traitement, notamment les périodes à des fins archivistiques ".
43. La rapporteure relève que les durées de conservation étaient énoncées de manière générique, sans être suffisamment explicites, puisqu’elles étaient précisées en ces termes : " Nous conservons généralement les données personnelles le temps nécessaire aux fins définies dans ce document. Pour nous débarrasser des données personnelles, nous pouvons les rendre anonymes, les supprimer ou prendre d’autres mesures nécessaires. Il est possible que des données persistent quelque temps sous la forme de copies de sauvegarde ou à des fins commerciales ". La rapporteure conclut donc qu’un manquement à l’obligation d’information est caractérisé. 
44. En défense, la société indique que l’article 13, paragraphe 2, a) du RGPD n’impose pas de fournir la durée de conservation en tant que telle, mais qu’il laisse au contraire la possibilité au responsable de traitement de fournir les " critères utilisés pour déterminer cette durée ". Elle ajoute qu’afin de se conformer à cette obligation, la société […] a fourni aux utilisateurs lesdits critères, à savoir la durée nécessaire pour réaliser les finalités par ailleurs explicitement décrites dans la politique de confidentialité. Enfin, la société ajoute qu’elle a développé une note d’information qui fournit plus de détails en matière de conservation des données à caractère personnel et qu’un lien vers la page " Combien de temps […] conserve vos informations " a été inclus directement dans la politique de confidentialité.
45. La formation restreinte considère qu’au moment du contrôle en ligne effectué, les durées de conservation étaient énoncées de manière générique et n’étaient pas suffisamment explicites. L’information était lacunaire s’agissant des durées de conservation puisqu’elle ne comportait ni durée précise, ni critères permettant de déterminer ces durées. En tout état de cause, la formation restreinte rappelle que le recours aux " critères utilisés pour déterminer cette durée " n’est permis que lorsqu’il n’est pas possible de fournir une durée précise. Or, tel n’est pas le cas en l’espèce s’agissant des traitements mis en œuvre par la société. Il en résulte que les personnes ne pouvaient pas connaître les durées de conservation établies par la société […], alors que cette information est importante afin de garantir " un traitement équitable et transparent " puisqu’elle contribue à assurer pour les utilisateurs la maîtrise sur le traitement de leurs données. 
46. Dès lors, la formation restreinte considère que la société a méconnu ses obligations résultant de l’article 13, paragraphe 2, a) du RGPD. Elle prend néanmoins acte des mesures prises par la société […] au cours de la procédure et estime que la société s’est désormais mise en conformité sur ce point.
F. Sur le manquement à l’obligation de respecter le droit d’opposition
47. L’article 21, paragraphe 1, du RGPD dispose que " la personne concernée a le droit de s'opposer à tout moment, pour des raisons tenant à sa situation particulière, à un traitement des données à caractère personnel la concernant fondé sur l'article 6, paragraphe 1, point e) ou f), y compris un profilage fondé sur ces dispositions. Le responsable du traitement ne traite plus les données à caractère personnel, à moins qu'il ne démontre qu'il existe des motifs légitimes et impérieux pour le traitement qui prévalent sur les intérêts et les droits et libertés de la personne concernée, ou pour la constatation, l'exercice ou la défense de droits en justice ".
48. La rapporteure a relevé que, parmi les traitements de données à caractère personnel que met en œuvre la société […], figure le traitement " Utiliser les données pour améliorer […] ", ayant pour finalité d’utiliser les informations collectées via les services pour " aider [la société] à améliorer le contenu et les fonctionnalités des services, mieux comprendre [ses] utilisateurs et améliorer le service ". Il ressort du registre des traitements de la société que la finalité d’amélioration du service conduit à collecter les données suivantes : adresse IP, identifiant utilisateur, système d’exploitation, serveurs de discussion rejoints, contacts/amis, jeux joués, abonnement éventuel à la version premium de […], achats réalisés, fonctionnalités utilisées, activités dans la plateforme, etc. La société ajoute que, lorsque que l’utilisateur s’oppose à ce que ses données soient utilisées à des fins d’amélioration du service […], il doit se rendre dans les paramètres et désactiver la fonctionnalité. Dans ce cas, la société supprime l’association de l’alias à l’identifiant de l’utilisateur, ce qui l’empêche alors, selon elle, de pouvoir associer les données collectées avec l’alias pseudonyme à l’identifiant de l’utilisateur. La rapporteure a relevé qu’il ressort des informations transmises par la société que des données à caractère personnel de l’intéressé continuent d’être traitées, alors même que l’utilisateur a manifesté son souhait de s’y opposer. La simple rupture du lien
entre, d’une part, les données d’utilisation traitées et conservées avec l’alias pseudonyme et, d’autre part, l’identifiant de l’utilisateur associé à son compte n’apparaît pas suffisante pour considérer que le droit d’opposition de l’utilisateur au traitement de ses données pour cette finalité serait dûment pris en compte et effectif.
49. En défense, la société considère que la possibilité de désactiver la fonction " Utiliser les données pour améliorer […] " avec un bouton slider ne constitue pas l’exercice du droit d’opposition au sens de l’article 21, paragraphe 1, du RGPD. Elle précise avoir bien distingué, dans ses réponses à la délégation de contrôle : 
- d’une part, une option de paramétrage qui peut être utilisée via un bouton slider en ligne sans qu’il soit besoin d’une justification tenant à la situation particulière de l’utilisateur : dans ce cas, les données sont pseudonymisées ; 
- d’autre part, le droit d’opposition qui s’exerce en vertu de l’article 21, paragraphe 1, du RGPD. Dans ce cas, les utilisateurs exercent leur demande auprès de la société […] ou de son représentant, en justifiant des raisons tenant à leur situation particulière pour permettre à la société d’apprécier si cette condition est remplie. Ce droit n’est pas exercé via le bouton slider. 
50. La société considère que la sanctionner sur ce point aurait pour effet de dissuader les organismes à mettre en place le " privacy by design " et de les pousser à ne fournir que le mécanisme d’opposition prévu par l’article 21 du RGPD.
51. Au vu de ces éléments, la rapporteure propose à la formation restreinte de ne pas retenir ce manquement.
52. La formation restreinte relève qu’il ressort des éléments communiqués par la société que l’existence du bouton slider permettant de désactiver la fonction " Utiliser les données pour améliorer […] " est un paramétrage qui n’a pas pour objet de constituer l’exercice du droit d’opposition au sens de l’article 21 du RGPD et que la société […] offre une procédure d’opposition conforme à cet article. 
53. Dans ces conditions, la formation restreinte estime que le manquement à l’article 21 du RGPD n’est pas constitué. 
G. Sur le manquement à l’obligation de garantir la protection des données par défaut
54. L’article 25, paragraphe 2, dispose que " le responsable du traitement met en œuvre les mesures techniques et organisationnelles appropriées pour garantir que, par défaut, seules les données à caractère personnel qui sont nécessaires au regard de chaque finalité spécifique du traitement sont traitées. Cela s'applique à la quantité de données à caractère personnel collectées, à l'étendue de leur traitement, à leur durée de conservation et à leur accessibilité. En particulier, ces mesures garantissent que, par défaut, les données à caractère personnel ne sont pas rendues accessibles à un nombre indéterminé de personnes physiques sans l'intervention de la personne physique concernée ".
55. La rapporteure indique que, par défaut, l’utilisateur doit effectuer plusieurs actions pour quitter l’application […] sous Windows et Linux. L’application est paramétrée afin de rester active même lorsque l’utilisateur ferme la fenêtre principale (en sélectionnant l’icône " X " situé en haut à droite), ce qui permet de continuer à communiquer vocalement tout en n’occupant plus de place sur le bureau de l’ordinateur. Seul un petit indicateur permet de comprendre que l’application est active. Cet indicateur était présent dans la barre des tâches, qui se situe en bas à droite de l’écran sous Microsoft Windows, à côté des date et heure. La rapporteure en conclut que ce paramétrage de l’application conduisait à ce que des données à caractère personnel de l’utilisateur puissent être communiquées à des tiers par le biais du salon vocal, alors même que celui-ci pensait, en l’absence d’information spécifique suffisamment visible et claire, que leur collecte avait cessé lorsqu’il avait choisi de fermer la fenêtre de l’application.
56. En défense, la société indique que l’une des fonctionnalités premières de […] est de pouvoir échanger avec des amis, souvent en faisant autre chose, comme par exemple en jouant à un jeu vidéo ou en naviguant sur le web. Selon la société, l’utilisateur souhaite uniquement voir sur son écran le jeu auquel il est en train de jouer et toute intrusion sur son écran impacterait son jeu et le dérangerait. Elle considère que, lorsqu’un utilisateur connecté à un salon vocal clique sur l’icône " X " située en haut à droite, il ne pense aucunement quitter l’application en question et a bien conscience qu’il est toujours connecté audit salon. Selon la société, il est informé à plusieurs reprises que, pour quitter un salon vocal, il doit cliquer sur le bouton " déconnexion " (icône représentant un téléphone avec une croix dans un rond rouge).