AgentPublic/cnil huggingface dataset:
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Alexandre LINDEN, président, M. Philippe-Pierre CABOURDIN, vice-président, MM. Alain DRU et Bertrand du MARAIS, membres ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données (RGPD) ;
Vu la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques ;
Vu la loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;
Vu le décret n°2019-536 du 29 mai 2019 pris pour l'application de la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération n°2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la décision n° 2020-127C du 14 août 2020 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à la vérification de la conformité à la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée et du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 des traitements accessibles à partir du domaine " x.com " ;
Vu les décisions n° 2020-254C du 14 août 2020 et n° 2021-123C du 4 janvier 2021 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements mis en œuvre par les sociétés x France et x (France) SAS ;
Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte, en date du 10 juillet 2023 ;
Vu le rapport de M. François PELLEGRINI, commissaire rapporteur, notifié à la société X le 11 août 2023 ;
Vu les observations écrites versées par la société X le 29 septembre 2023 ;
Vu la réponse du rapporteur à ces observations notifiée à la société X le 25 octobre 2023 ;
Vu les nouvelles observations écrites versées par la société X le 28 novembre 2023 ;
Vu les observations orales formulées lors de la séance de la formation restreinte du 21 décembre 2023 ;
Vu les autres pièces du dossier ;
Étaient présents lors de la séance de la formation restreinte :
- M. François PELLEGRINI, commissaire, entendu en son rapport ;
En qualité de représentants de la société X :
[…]
La société X ayant eu la parole en dernier ;
La formation restreinte a adopté la décision suivante :
I. Faits et procédure
1. Le groupe x, dont la société mère x est située aux Etats-Unis, est composée de plusieurs branches, dont une branche " média ", dirigée pour l’Europe par la filiale x, située aux Pays-Bas. Cette société dispose de plusieurs filiales, dont les sociétés x et x. La société x détient la société x, qui est l’appellation, depuis 2018, de la société X, créée en 2002.
2. La société x dispose également d’une branche x, qui propose des services de télécommunication à destination de professionnels dont fait notamment partie la société x.
3. Après le rachat du groupe x par la société américaine x, la société x est devenue la société X (ci-après " la société ").
4. Le chiffre d’affaires de la société X s’élevait à […] euros pour l’année 2022 et à […] pour l’année 2021. Elle employait […] personnes au 26 août 2021.
5. Entre le 12 juin 2019 et le 2 octobre 2020, la Commission nationale de l’informatique et des libertés (ci-après " la CNIL " ou " la Commission ") a été saisie par vingt-sept plaignants dénonçant notamment le dépôt de cookies sur leur terminal avant toute action, la non-prise en compte de leur refus au dépôt de ces cookies ainsi que sur les modalités de refus de ces derniers à partir du domaine " x.com " et du service de messagerie " x mail ".
6. À la suite de ces plaintes, une délégation de la Commission a, le 7 octobre 2020, effectué un premier contrôle en ligne sur le site web " x.com " et sur le service de messagerie " x mail ", en application de la décision n° 2020-254C du 14 août 2020 de la présidente de la CNIL.
7. Au cours de ce contrôle, la délégation a reproduit d’une part, le parcours d’un utilisateur se rendant sur le domaine " x.com ", lequel permet d’accéder au moteur de recherche x ! et d’autre part, le parcours d’un utilisateur qui s’inscrit au service de messagerie " x Mail ".
8. Le 10 juin 2021, un second contrôle en ligne ayant le même objet que celui effectué le 7 octobre 2020 a été réalisé par la délégation de la CNIL.
9. Par courrier du 3 juin 2021, en application de l’article 19-III de la loi Informatique et Libertés, la société x (FRANCE) a été convoquée à une audition le 23 juin 2021. L’ensemble de ces opérations de contrôle ont donné lieu à des échanges entre la délégation et les sociétés contrôlées portant particulièrement sur la finalité des cookies dont le dépôt avait été constaté à l’occasion des contrôles en ligne, sur leurs activités et sur la gouvernance des traitements de données à caractère personnel.
10. Aux fins d’instruction de ces éléments, la présidente de la Commission a, le 10 juillet 2023, désigné M. François PELLEGRINI en qualité de rapporteur sur le fondement de l’article 39 du décret n° 2019-536 du 29 mai 2019.
11. Le rapporteur a, le 11 août 2023, fait notifier à la société un rapport proposant à la formation restreinte de prononcer une amende administrative pour un manquement à l’article 82 de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés (ci-après " la loi Informatique et Libertés ") qu’il estimait constitué en l’espèce. Il proposait également que cette décision soit rendue publique, mais qu’il ne soit plus possible d’identifier nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.
12. Le 5 septembre 2023, la société a sollicité un délai complémentaire pour présenter ses observations en réponse.
13. Le 18 septembre 2023, le président de la formation restreinte a décidé de lui accorder un délai supplémentaire de sept jours.
14. Le 29 septembre 2023, la société a produit ses observations en réponse au rapport de sanction.
15. Le 25 octobre 2023, le rapporteur a adressé sa réponse aux observations de la société.
16. Le 28 novembre 2023, la société a produit de nouvelles observations en réponse à celles du rapporteur.
17. Le 30 novembre 2023, le rapporteur a informé la société et le président de la formation restreinte de la clôture de l’instruction. Le même jour, le président de la formation restreinte a adressé une convocation à la séance de la formation restreinte du 21 décembre 2023.
18. Le rapporteur et la société X ont présenté des observations orales lors de la séance de la formation restreinte.
II. Motifs de la décision
A. Sur la compétence de la CNIL
 Sur la compétence matérielle de la CNIL
19. Le traitement objet de la présente procédure est relatif au dépôt de cookies et traceurs sur le terminal des utilisateurs résidant en France lors de la navigation sur le site " x.com " et l’utilisation du service " x Mail ".
20. Ce traitement est effectué dans le cadre de la fourniture de services de communications électroniques accessibles au public par le biais d’un réseau public de communications électroniques proposés au sein de l’Union européenne. À ce titre, il entre dans le champ d’application matériel de la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques, telle que modifiée par la directive 2006/24/CE du 15 mars 2006 et par la directive 2009/136/CE du 25 novembre 2009 (ci-après la directive " ePrivacy ").
21. L’article 5, paragraphe 3, de cette directive, relatif au stockage ou à l’accès à des informations déjà stockées dans l’équipement terminal d’un abonné ou d’un utilisateur, a été transposé en droit interne à l’article 82 de la loi Informatique et Libertés, au sein du chapitre IV de la loi relatif aux droits et obligations propres aux traitements dans le secteur des communications électroniques.
22. Aux termes de l’article 16 de la loi Informatique et Libertés, " la formation restreinte prend les mesures et prononce les sanctions à l'encontre des responsables de traitements ou des sous-traitants qui ne respectent pas les obligations découlant […] de la présente loi ". Selon l’article 20, paragraphe III, de cette même loi, " lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant […] de la présente loi, le président de la Commission nationale de l'informatique et des libertés […] peut saisir la formation restreinte ".
23. Le rapporteur considère que la CNIL est matériellement compétente pour contrôler et, le cas échéant, sanctionner les opérations d’accès ou d’inscription d’informations mises en œuvre par la société x, devenue la société x, dans les terminaux des utilisateurs du domaine " x.com " et de la messagerie " x Mail " résidant en France, ce que ne conteste pas cette dernière.
24. En défense, les sociétés n’ont pas fait d’observations sur la compétence matérielle de la CNIL.
25. La formation restreinte rappelle que le Conseil d’État a, dans sa décision Société GOOGLE LLC et société GOOGLE IRELAND LIMITED du 28 janvier 2022, confirmé que le contrôle des opérations d’accès ou d’inscription d’informations dans les terminaux des utilisateurs en France d’un service de communications électroniques, même procédant d’un traitement transfrontalier, relève de la compétence de la CNIL et que le système du guichet unique prévu par le RGPD n’est pas applicable : " il n’a pas été prévu l’application du mécanisme dit du " guichet unique " applicable aux traitements transfrontaliers, défini à l’article 56 de ce règlement, pour les mesures de mise en œuvre et de contrôle de la directive 2002/58/CE du 12 juillet 2002, qui relèvent de la compétence des autorités nationales de contrôle en vertu de l’article 15 bis de cette directive. Il s’ensuit que, pour ce qui concerne le contrôle des opérations d’accès et d’inscription d’informations dans les terminaux des utilisateurs en France d’un service de communications électroniques, même procédant d’un traitement transfrontalier, les mesures de contrôle de l’application des dispositions ayant transposé les objectifs de la directive 2002/58/CE relèvent de la compétence conférée à la CNIL par la loi du 6 janvier 1978 […] " (CE, 28 janvier 2022, 10ème et 9ème chambres réunies, société GOOGLE LLC et société GOOGLE IRELAND LIMITED, n° 449209, au recueil). Le Conseil d’État a réaffirmé cette position dans un arrêt du 27 juin
2022 (CE, 10ème et 9ème chambres réunies, 27 juin 2022, société AMAZON EUROPE CORE, n° 451423, aux Tables).
26. Dès lors, la formation restreinte considère que la CNIL est compétente pour contrôler et engager une procédure de sanction concernant les traitements mis en œuvre par la société relevant du champ d’application de la directive " ePrivacy ", sous réserve que le traitement se rattache à sa compétence territoriale.
Sur la compétence territoriale de la CNIL
27. La règle d’application territoriale des exigences figurant à l’article 82 de la loi Informatique et Libertés est fixée à l’article 3, paragraphe I, de la même loi, qui dispose : " sans préjudice, en ce qui concerne les traitements entrant dans le champ du règlement (UE) 2016/679 du 27 avril 2016, des critères prévus par l'article 3 de ce règlement, l'ensemble des dispositions de la présente loi s'appliquent aux traitements des données à caractère personnel effectués dans le cadre des activités d'un établissement d'un responsable du traitement […] sur le territoire français, que le traitement ait lieu ou non en France ".
28. Le rapporteur considère que la CNIL est territorialement compétente en application de ces dispositions dès lors que le traitement objet de la présente procédure, consistant en des opérations d’accès ou d’inscription d’informations dans le terminal des utilisateurs résidant en France lors de la navigation sur le site " x.com " et l’utilisation du service " x Mail ", est effectué dans le " cadre des activités " de la société x (FRANCE), devenue x France, laquelle constitue " l’établissement " sur le territoire français de la société X, ce que cette dernière conteste en défense à deux titres.
29. S’agissant de la notion d’établissement, la société X soutient que la société x FRANCE est une entité juridique distincte, dont elle n’est pas actionnaire, et que celle-ci ne peut être regardée comme son établissement au sens de la décision Weltimmo de la Cour de justice de l’Union européenne (ci-après " la Cour de justice " ou " la CJUE ") (1er octobre 2015, C-230/14). Elle relève à cet égard que le site " x.com " n’est pas exclusivement ou principalement tourné vers le territoire français, que x FRANCE ne la représente pas pour recouvrer les créances résultant du site " x.com ", ni dans les procédures administratives et judiciaires relatives aux traitements de données à caractère personnel. Elle souligne qu’en tout état de cause, la CNIL aurait pu communiquer les plaintes à l’autorité irlandaise.
30. En premier lieu, la formation restreinte rappelle que, de façon constante, la CJUE considère que la notion d’établissement doit être appréciée de façon souple et qu’à cette fin, il convient d’évaluer tant le degré de stabilité de l’installation que la réalité de l’exercice des activités dans un État membre, en tenant compte de la nature spécifique des activités économiques et des prestations de services en question.
31. A cet égard, la Cour de justice a relevé que " le considérant 19 de la directive 95/46 précise que l’établissement sur le territoire d’un État membre suppose l’exercice effectif et réel d’une activité au moyen d’une installation stable " et que " la forme juridique retenue pour un tel établissement, qu’il s’agisse d’une simple succursale ou d’une filiale ayant la personnalité juridique, n’est pas déterminante " (CJUE, 13 mai 2014, Google Spain, C-131/12, point 48).
32. Dans le même sens, la Cour de justice a précisé que " la notion d’établissement, au sens de la directive 95/46, s’étend à toute activité réelle et effective, même minime, exercée au moyen d’une installation stable ", le critère de stabilité de l’installation étant examiné au regard de la présence de " moyens humains et techniques nécessaires à la fourniture de services concrets en question " (CJUE, 1er octobre 2015, Weltimmo, C 230/14, points 30 et 31).
33. L’appréciation de l’existence d’un " établissement sur le territoire français " au sens du I de l’article 3 de la loi Informatique et Libertés procède donc d’une appréciation souple et casuistique.
34. En deuxième lieu, la formation restreinte relève, comme l’indique le rapport sans être contesté sur ces points par la société X, qu’il ressort des statuts de la société x (FRANCE), devenue la société x FRANCE, que son siège social est implanté au x et qu’elle a pour objet : " la promotion sur le marché français des produits et solutions publicitaires de x, ce qui comprend notamment les missions suivantes : / - prospecter et développer de nouveaux clients ; / - maintenir et entretenir les relations clients ; / identifier et comprendre les tendances du marché ; / fournir auprès des clients des informations spécifiques à l’industrie ; / et plus généralement, toutes opérations financières, commerciales, industrielles, mobilières, immobilières, pouvant se rattacher directement ou indirectement à l’objet social et à tous objets similaires ou connexes susceptibles d’en faciliter l’extension et le développement ".
35. Par ailleurs, lors de son audition à la CNIL le 23 juin 2021, la société x (FRANCE) a indiqué qu’" un contrat de prestation a été conclu entre les sociétés x (FRANCE) SAS et x., lequel prévoit que la première agit en tant que prestataire de services pour le compte de la seconde afin de promouvoir les produits commercialisés par la société x. auprès de ses clients français. (…) ".
36. En outre, et comme cela a été indiqué au point 1, la société x (FRANCE) est intégralement et directement détenue par une holding dont le capital social est lui-même intégralement et directement détenue par la société x, laquelle détient directement, par ailleurs, la totalité du capital social de la société x.
37. Enfin, comme l’a indiqué la société x (FRANCE) lors de son audition à la CNIL le 23 juin 2021, la présidence de cette dernière est directement exercée par la société x, société mère de la société x, devenue la société X, responsable du traitement.
38. Du reste, il a également été précisé lors de cette audition que " la société x (FRANCE) refacture ses coûts de fonctionnement à la société x avec une marge " et que la personne " en charge de la branche commerciale de la société x (FRANCE), à savoir la promotion des produits publicitaires fournis et vendus par la société x. (…) rend compte [à cette dernière] ".
39. En dernier lieu, la formation restreinte indique que dans sa décision Société Google LLC et Société Google Ireland Limited (CE, 28 janvier 2022, n° 449209, au Recueil), le Conseil d’État a exclu l’application du mécanisme du guichet unique pour des opérations de lecture et d’écriture dans un terminal. Ainsi, la CNIL n’aurait, en tout état de cause, pas pu communiquer les plaintes qu’elle a reçues à son homologue irlandaise.
40. Ainsi, la formation restreinte estime que la société x(FRANCE), devenue la société x France, constitue un établissement, au sens de l’article 3 de la loi Informatiques et Libertés, de la société x, devenue la société X,
41. S’agissant de l’existence d’un traitement effectué dans le cadre des activités de cet établissement, la société X soutient que le traitement en cause n’intervient pas dans le cadre des activités de x FRANCE. Elle indique à cet égard que x FRANCE n’est impliquée ni dans le traitement, ni dans la conception ou la gestion du traitement de données qu’elle effectue et ne la représente pas dans ces tâches. Elle ajoute que x FRANCE n’est pas le fournisseur du site " x.com " et n’est pas impliquée dans les relations avec ses utilisateurs français. Elle précise que x FRANCE n’est pas non plus impliquée dans la vente d’espaces publicitaires sur le site " x.com ", son rôle se limitant à promouvoir les services x aux annonceurs. Elle en déduit que l’activité de x FRANCE n’est pas nécessaire au traitement des données qu’elle effectue, de sorte qu’il n’existe pas de liens inextricables entre leurs deux activités, et se réfère sur ce point aux décisions du Conseil d’État Google Inc. (CE, 27 mars 2020, n° 399922, au Recueil) et Amazon Europe Core S.A.R.L.
42. Enfin, la société X relève que l’interprétation large de la notion " dans le cadre des activités " retenue dans la décision Google Spain SL et Google Inc. se justifiait par les circonstances propres au cas d’espèce, afin d’éviter toute atteinte à la protection des utilisateurs résidant dans l’Union européenne, risque qui ne se présente pas en l’espèce dès lors qu’elle a son siège et son établissement principal dans un État membre.
43. En premier lieu, la formation restreinte relève que le Conseil d’État, dans sa décision AMAZON EUROPE CORE, a rappelé qu’" il résulte de la jurisprudence de la Cour de justice de l’Union européenne, notamment de son arrêt du 5 juin 2018, Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein contre Wirtschaftsakademie Schleswig-Holstein GmbH (C-210/16), qu’au vu de l’objectif poursuivi par cette directive [la directive " ePrivacy "], consistant à assurer une protection efficace et complète des libertés et des droits fondamentaux des personnes physiques, notamment du droit à la protection de la vie privée et à la protection des données à caractère personnel, un traitement de données à caractère personnel peut être regardé comme effectué " dans le cadre des activités " d’un établissement national non seulement si cet établissement intervient lui-même dans la mise en œuvre de ce traitement, mais aussi dans le cas où ce dernier se borne à assurer, sur le territoire d’un État membre, la promotion et la vente d’espaces publicitaires permettant de rentabiliser les services offerts par le responsable d’un traitement consistant à collecter des données à caractère personnel par le biais de traceurs de connexion installés sur les terminaux des visiteurs d’un site " (CE, 10ème et 9ème chambres réunies, 27 juin 2022, société AMAZON EUROPE CORE, n° 451423, aux Tables).
44. Le Conseil d’Etat a également considéré, dans cette décision, que tel était le cas lorsque les activités de l’établissement du responsable de traitement consistent en la promotion et la commercialisation d’outils publicitaires contrôlés et exploités par le responsable de traitement fonctionnant notamment grâce aux données collectées par le biais des traceurs de connexion déposés sur les terminaux des utilisateurs du site exploité par le responsable de traitement (point 15 de la décision précitée). Ainsi, le fait que la société x FRANCE ne soit impliquée ni dans le traitement en cause ni directement dans la vente d’espaces publicitaires est sans incidence sur le fait que le traitement effectué par la société X puisse s’inscrire dans le cadre des activités de cet établissement.
45. En deuxième lieu, la formation restreinte souligne, comme l’indique le rapport, que la société X commercialise des espaces publicitaires et des plateformes technologiques disponibles sur ce domaine. Elle précise aussi que la société x France est, quant à elle, chargée de promouvoir les produits vendus par cette société sur le marché français.
46. Ainsi, au cours de son audition du 23 juin 2021, la société x FRANCE a indiqué que " l’essentiel des salariés [de la société] travaillent à la promotion des produits vendus par la x. située en Irlande, qui édite les sites " x.com " disponibles dans la région xA et notamment le site " fr.x.com ". Elle a aussi précisé que ces produits, " commercialisés par la société x. sont essentiellement des produits publicitaires et des plateformes technologiques permettant la diffusion d’annonces sur Internet ". " Promus par la société x (FRANCE) SAS ", ces produits " sont présents sur le site " fr.x.com " ou d’autres sites de clients partenaires qui utilisent la SSP de x. " Il ressort de cette audition que parmi ces plateformes technologiques figurent des outils de publicité programmatique appelés " Supply Side Platform " (plateforme pour l’offre) et " Demand Supply Platform " (plateforme pour la demande).
47. Or, ces plateformes technologiques dont x FRANCE assure la promotion exploitent le dépôt de cookies dans leur fonctionnement. En effet, le dépôt de cookies est nécessaire pour assurer la traçabilité de la navigation de l’utilisateur au cours du temps et leur lecture à partir d’une page où un annonceur achète un espace publicitaire l’est pour pouvoir lui proposer un ensemble d’annonces personnalisées sur la base de cette navigation.