AgentPublic/cnil huggingface dataset:
L’OFB a précisé que le droit d’opposition est exclu pour ce traitement sur le fondement de l’article 23.1.h du RGPD, afin de garantir "la prévention et la détection d'infractions pénales, ainsi que les enquêtes et les poursuites en la matière ou l'exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces
".
L’article 23 du RGPD permet de limiter ou d’écarter le droit d’opposition à un traitement, à certaines conditions, par une "mesure législative". Le considérant 41 du RGPD précise que cette "mesure législative" n’est pas nécessairement un acte adopté par le Parlement, mais doit être déterminée par le droit national de chaque Etat membre. En France, il peut en particulier s’agir d’un acte réglementaire. La CNIL estime que, s’agissant des traitements participant de l’exécution d’une mission d’intérêt public, tant l’Etat que les collectivités territoriales ou les établissements publics peuvent, dans leurs domaines de compétence respectifs et s’ils disposent d’un pouvoir réglementaire, limiter ou exclure le droit d’opposition. Cependant, l’exercice de cette faculté est soumis à une double limite : d’une part, s’agissant de la compétence, ne pas empiéter sur le domaine réservé à la loi en application de l’article 34 de la Constitution ; d’autre part, veiller à ce que les conditions prévues à l’article 23 soient respectées. Dans ses lignes directrices sur l’article 23
[3]
, le Comité européen pour la protection des données (CEPD) a notamment rappelé l’obligation pour le responsable de traitement de veiller au caractère strictement nécessaire et proportionné de la limitation envisagée au regard de l’objectif poursuivi. Il a également souligné que l’acte écartant l’opposition doit faire l’objet d’une publicité suffisante et être accessible.
En l’espèce, la CNIL estime que l’OFB, en sa qualité d’établissement public, peut exclure le droit d’opposition, dès lors que, d’une part, cette exclusion est nécessaire et proportionnée aux objectifs d’intérêt public poursuivis et que, d’autre part, l’OFB s’est engagé à ce que le projet de décision, qui a une nature réglementaire, comprenne les garanties requises par le 2 de l’article 23.
La CNIL attire également l’attention de l’OFB sur la publicité de l’acte règlementaire adopté, qui devra être suffisante pour garantir l’accessibilité de celui-ci.
D. Sur la réalisation d’une analyse d’impact relative à la protection des données (AIPD)
Le projet de traitement prévoit la collecte de données à caractère personnel à grande échelle, de données sensibles ou hautement personnelles (données de santé et données relatives à des condamnations) et de données de personnes dites vulnérables (mineurs et personnes âgées).
Au regard de ces éléments et des neuf critères établis par le Comité européen de la protection des données afin de déterminer si un traitement de données à caractère personnel est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes concernées, la Commission recommande la réalisation d’une AIPD.
La CNIL prend acte de l’engagement de l’OFB 
d’
effectuer 
une AIPD
.
Les autres dispositions du projet de décision n’appellent pas d’observations de la part de la CNIL.
La Présidente
Marie-Laure DENIS
__________________________________
[1] Article R. 423-25 du code de l’environnement
[2] Article L. 423-6 du code de l’environnement
[3] Lignes directrices 10/2020 du 13 octobre 2021 sur les limitations prévues par l’article 23 du RGPD
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de Monsieur Alexandre LINDEN, président, Monsieur Philippe-Pierre CABOURDIN, vice-président, Madame Christine MAUGÜÉ, MM. Alain DRU et Bertrand du MARAIS, membres ;
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;
 
Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
 
Vu la délibération n° SAN-2022-023 du 19 décembre 2022 adoptée par la formation restreinte à l’encontre de la société […] ;
 
Vu les éléments transmis par la société […] le 10 mars 2023 ;
 
Après en avoir délibéré lors de la séance du 11 mai 2023, a adopté la décision suivante :
 
 
FAITS ET PROCÉDURE
 
La décision no SAN-2022-023 du 19 décembre 2022, notifiée le 20 décembre 2022, a enjoint à la société […] de :
recueillir le consentement des utilisateurs lors de leur arrivée sur le site web […]  avant toute opération de lecture et écriture d’informations sur le terminal des utilisateurs résidant en France ayant pour finalité la lutte contre la fraude publicitaire .
 
Cette injonction était assortie d’une astreinte de soixante mille euros (60 000) euros par jour de retard à l’issue d’un délai de trois mois suivant la notification de la délibération de la formation restreinte, les justificatifs de la mise en conformité devant être adressés à la formation restreinte dans ce délai.
 
Le 10 mars 2023, la société a adressé un courrier au président de la formation restreinte, répondant à l’injonction.
 
 
MOTIFS DE LA DECISION
 
La formation restreinte relève qu’il ressort des éléments de réponse fournis par la société le 10 mars 2023 qu’elle a apporté des modifications techniques afin de s’assurer que les cookies déposés sur les terminaux des utilisateurs du site web […] en France ne sont pas utilisés pour la finalité de lutte contre la fraude publicitaire en l’absence de consentement. La formation restreinte relève que la société indique avoir mis en place ces modifications depuis le 24 février 2023.
 
Il résulte de ce qui précède que la société a satisfait à l’injonction dans le délai imparti.
 
 
PAR CES MOTIFS
 
La formation restreinte de la CNIL, après en avoir délibéré, décide :
 
de dire n’y avoir lieu à liquidation de l’astreinte ;
de rendre publique, sur le site de la CNIL et sur le site de Légifrance, la présente délibération qui n’identifiera plus nommément la société à l’expiration d’un délai de deux ans, le point de départ étant la publication de la délibération n° SAN-2022-023 du 19 décembre 2022.
 
 
Le président
 
 
 
Alexandre LINDEN
Date de l’avis 
: 25
 mai 2023
N° de la délibération 
: 2023-049
N° de demande d’avis 
: 23006100 
Texte concerné
 : projet de décret relatif aux modalités techniques de résiliation des contrats par voie électronique. 
Thématiques
 : résiliation des contrats par voie électronique ; droit de la consommation 
 
 
Fondement de la saisine 
: 
article
8.I.4.a de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés
 
L’essentiel
 :
La CNIL invite le ministère à préciser, dans le projet de décret, que les professionnels ne devraient pas avoir vocation à demander des informations qu’ils n’auraient pas déjà collectées dans le cadre de la relation contractuelle, en dehors des cas où la résiliation dépend de l’existence d’un motif légitime que le consommateur devra renseigner.
LA COMMISSION NATIONALE DE L'INFORMATIQUE ET DES LIBERTÉS,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 8.I.4.a ;
Vu la loi n° 2022-1158 du 16 août 2022 portant mesures d’urgence pour la protection du pouvoir d’achat, notamment son article 15 ;
Sur la proposition de M. François PELLEGRINI, commissaire, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
 
ADOPTE LA DÉLIBÉRATION SUIVANTE :
I - La saisine
A . Le contexte
Afin de faciliter la résiliation des contrats de consommation pouvant être conclus par voie électronique (par exemple, les abonnements de presse, les contrats de fourniture d’énergie ou encore les contrats de téléphonie), l’article L. 215-1-1 du code de la consommation, introduit par l’article 15 de la loi n° 2022-1158 du 16 août 2022 portant mesures d’urgence pour la protection du pouvoir d’achat, prévoit une obligation pour les professionnels de mettre à disposition des consommateurs un système de résiliation en ligne simplifié de leurs contrats.
Ce dispositif doit être mis en place par les professionnels concernés dès lors qu’ils offrent la possibilité de conclure des contrats par voie électronique ; cette modalité de résiliation pourra donc être utilisée indépendamment du fait que le contrat en cause ait été souscrit par voie électronique ou non.
B . L’objet de la saisine
La Commission a été saisie par le ministère de l’économie, des finances et de la souveraineté industrielle et numérique d’un projet de décret relatif aux modalités techniques de résiliation des contrats par voie électronique.
Le projet de décret, objet de la présente saisine, fixe les modalités d’accès et d’utilisation de la fonctionnalité de résiliation des contrats par voie électronique, en application de l’article 15 de la loi n° 2022-1158 du 16 août 2022.
Il prévoit qu’à partir du 1er juin 2023 au plus tard, les professionnels mettent à disposition des consommateurs une fonctionnalité de résiliation du contrat directement et facilement accessible à partir de leur interface en ligne. Il mentionne ensuite les informations permettant d’identifier le consommateur, de formuler la demande et de recevoir la notification de la résiliation.
II - L’avis de la CNIL
A . Sur les modalités d’identification du demandeur 
Le projet d’article D. 215-2 du code de la consommation mentionne les données que le consommateur est amené à renseigner ou à confirmer afin de s’identifier et de désigner le contrat à résilier.
Pour le cas très particulier où le consommateur résilie le contrat de façon anticipée, le projet d’article prévoit des conditions spécifiques pour la mise en œuvre de cette résiliation, qui est conditionnée par l’existence d’un motif légitime. Le consommateur dispose d’une rubrique lui permettant de préciser ce motif légitime et l’informant du justificatif qu’il doit produire au titre de ce motif. Le projet de décret prévoit que la rubrique mentionne une adresse électronique ou comporte une fonctionnalité permettant d’adresser au professionnel, sous une forme dématérialisée, un justificatif du motif légitime de résiliation et mentionne également l’adresse postale à laquelle
le consommateur peut lui envoyer ce justificatif.
En premier lieu, la CNIL prend acte que, en dehors des cas où la résiliation dépend de l’existence d’un motif légitime, les professionnels concernés n’ont pas vocation à demander des informations qu’ils n’auraient pas déjà collectées dans le cadre de la relation contractuelle. La CNIL invite le ministère à rappeler ce principe dans le projet de décret.
En deuxième lieu, la CNIL relève que les personnes concernées disposeront d’une rubrique leur permettant de préciser le motif légitime justifiant une résiliation anticipée. Les zones de saisie de texte libre favorisent le risque de renseigner des informations inappropriées ou non pertinentes en lien avec la vie privée des personnes concernées. Il est recommandé, lorsque cela est possible, de limiter le recours à de telles zones et de favoriser l'utilisation de menus déroulants ou de cases à cocher proposant une liste de motifs légitimes. S’il n’était pas possible de prévoir une liste limitative, l’interface de saisie (menu déroulant ou sélection à cocher) pourrait lister les motifs reconnus par un texte ainsi que par la jurisprudence et prévoir la possibilité de sélectionner le fondement "Autres" afin d’indiquer, en le précisant, un autre motif que ceux déjà prédéterminés. La CNIL rappelle qu’il est nécessaire de mettre en œuvre des mesures afin de limiter l’enregistrement aux données strictement nécessaires à l’instruction du dossier (limitation du nombre de caractères, mention spécifique destinée aux utilisateurs pour les sensibiliser, suppression rapide des données non pertinentes, etc.).
En troisième lieu,
la création d’un espace en ligne personnalisé ne devrait pas être imposée pour la résiliation du contrat en ligne, sauf à prouver qu’il n’existe pas de moyen moins intrusif pour effectuer cette vérification de manière sécurisée. La transmission en ligne, le cas échéant, du justificatif du motif légitime de résiliation pourrait ainsi s’opérer via un formulaire sécurisé (notamment en recourant au protocole HTTPS) permettant la collecte des données à caractère personnel nécessaires à la résiliation du contrat.
Le ministère a confirmé que les professionnels concernés ne doivent pas imposer la création d’un tel espace au moment de la résiliation. La CNIL recommande donc de le préciser dans le projet de décret, sans préjudice de la possibilité, pour le consommateur qui en dispose déjà, de passer par son espace pour procéder à la résiliation.
Une copie des informations fournies pourrait être transmise à la personne concernée, par exemple par l’envoi d’un accusé de réception (courriel, SMS, etc.), permettant notamment à la personne de conserver une trace horodatée de sa demande.
B . Sur l’information des personnes concernées
La CNIL rappelle que les personnes concernées devront être informées des éléments concernant le traitement de résiliation, conformément aux articles 12 et 13 du règlement général sur la protection des données (RGPD). Cette information devra notamment préciser que les données à caractère personnel collectées ne seront utilisées qu’aux fins d’identifier le demandeur et de prendre en compte la demande de résiliation, et mentionner la durée de conservation des données ainsi communiquées.
La Présidente
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés ;
Saisie d’une demande d’avis sur un projet d’arrêté relatif à la création au sein de la direction générale de la concurrence, de la consommation et de la répression des fraudes (DGCCRF) d’un traitement de données à caractère personnel dénommé "Polygraphe" ;
Vu la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil ;
Vu le code de la consommation, notamment ses articles L. 121-2 et suivants, L. 521-2 et D. 111-16 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 89-II et 31-II ;
Après avoir entendu le rapport de M. Philippe-Pierre CABOURDIN, commissaire, et les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Émet l’avis suivant :
Le projet d’arrêté soumis pour avis de la Commission a pour objet la création au sein du ministère de l’économie, des finances et de la souveraineté industrielle et du numérique (direction générale de la concurrence, de la consommation et de la répression des fraudes – DGCCRF) d’un traitement de données à caractère personnel dénommé "Polygraphe".
La finalité de ce traitement est de permettre aux agents de la DGCCRF de vérifier que les avis déposés en ligne des consommateurs correspondent à la définition réglementaire prévue par à l’article D. 111-16 du code de la consommation. L’analyse d’impact sur la protection des données (AIPD) précise que le traitement collecte et analyse l’ensemble des avis concernant les professionnels, déposés sur les plateformes "Google Maps" et "Tripadvisor".
Il vise à fournir aux agents de la DGCCRF des éléments permettant d’aider à l’engagement d’investigations à l’encontre de professionnels suspectés de recourir à des faux avis de consommateurs, pratique commerciale trompeuse susceptible de sanctions administratives et/ou pénales. La Commission remarque que l’exploitation des faits rapportés par des avis quant à d’éventuelles pratiques répréhensibles du professionnel n’est pas l’objet du traitement présenté.
Le projet d’arrêté est soumis à la Commission sur le fondement des dispositions des articles 89-I et 31-I-2° de la loi du 6 janvier 1978 modifiée (ci-après loi "informatique et libertés"), soit sous le régime prévu par la directive 2016/680 du 27 avril 2016 visée (ci-après directive "police-justice"), ce qui n’appelle pas d’observations particulières.
Le ministère a transmis une analyse d’impact relative à la protection des données (AIPD) avec la demande d’avis, conformément à l’article 90 de la loi du 6 janvier 1978 modifiée.
À titre liminaire, le projet d’arrêté prévoit la possibilité pour l’administration de collecter puis d’analyser, au moyen de traitements automatisés, l’ensemble des contenus librement accessibles publiés sur Internet par les utilisateurs de certains opérateurs de plateformes en ligne mentionnées à l’article L. 111-7-I-2° du code de la consommation concernant les professionnels. Les professionnels visés sont ceux soumis au code de la consommation, à savoir, toute personne physique ou morale, publique ou privée, qui agit à des fins entrant dans le cadre de son activité commerciale, industrielle, artisanale, libérale ou agricole, y compris lorsqu'elle agit au nom ou pour le compte d'un autre professionnel.
La Commission s’est prononcée à plusieurs reprises sur de tels traitements, notamment par sa délibération n°2019-114 du 12 septembre 2019 portant avis sur le projet d’article 9 du projet de loi de finances pour 2020 ou encore par sa délibération n°2022-030 du 10 mars 2022 portant avis sur un projet de décret relatif à la mise œuvre par le pôle d’expertise de la régulation numérique (PEReN), placé sous l'autorité conjointe des ministres chargés de l'économie, de la communication et du numérique, de traitements informatisés et automatisés permettant la collecte de données publiquement accessibles mises à disposition du public par les opérateurs de plateformes.
De manière générale, la seule circonstance que les données soient accessibles sur Internet n’autorise pas à les collecter et à les exploiter pour quelque finalité que ce soit. La licéité de chaque traitement doit être appréciée au cas par cas. De plus, la nature de tels traitements est susceptible de porter atteinte aux droits et libertés fondamentaux, dont la liberté d’expression et la liberté d’opinion. De telles atteintes ne peuvent être admises que si des garanties suffisantes sont prévues.
Les objectifs poursuivis par la DGCCRF, à savoir lutter contre les "faux avis" sur Internet et améliorer l’efficience des contrôles de ses agents sont légitimes, et peuvent justifier que les avis librement accessibles puissent être traités. Le traitement envisagé consiste à analyser automatiquement l’ensemble des avis postés sur les deux principales plateformes, pour l’ensemble des professionnels.
Il est pris acte des garanties mises en œuvre par le ministère, telles que l’exclusion de toute décision de contrôle automatisée ou encore la séparation entre les services chargés du traitement envisagé et ceux chargés des enquêtes et de la collecte de preuve d’activités potentiellement frauduleuses. La Commission appelle toutefois à une vigilance particulière quant à l’application du principe de minimisation des données et de protection des données dès la conception.
En dépit des garanties prévues, la mise en œuvre de ce type de traitement témoigne d’un changement d’échelle significatif dans le cadre des prérogatives confiées à la DGCCRF pour l’exercice de ses missions. Il convient de faire preuve d’une grande prudence quant au développement de ce type de traitements informatisés permettant de collecter les contenus librement accessibles et publiés sur internet, eu égard à leurs potentielles conséquences importantes en matière de protection de données à caractère personnel.
De manière générale, la Commission constate un recours croissant par les acteurs publics aux outils permettant d’aspirer de manière massive et indifférenciée des contenus sur internet ("Webscraping"). Elle appelle le législateur à fixer un cadre général dans lequel les administrations pourraient, si nécessaire, recourir à de tels outils, afin de garantir un équilibre entre les missions des administrations et la protection des droits des individus.
En tout état de cause, la Commission estime, d’une part, que le traitement devrait être prévu par un décret en Conseil d’Etat, pour les raisons exposées ci-dessous. D’autre part, ce projet de traitement devrait faire l’objet d’une phase d’expérimentation qui permettrait de documenter tant la faisabilité de ce traitement que la pertinence des indicateurs retenus ainsi que les mesures mises en œuvre pour minimiser les données collectées. La phase de suppression des données sensibles et des données non-pertinentes, argument important de la question de la proportionnalité de ce traitement n’étant en rien documenté à ce stade. Un bilan intermédiaire et un bilan final devraient être réalisés et communiqués à la CNIL selon le calendrier qui lui sera communiqué avec le projet de décret. Elle rappelle à cet égard que le bilan, prévu par la loi de finances pour 2020, de l’expérimentation de collecte de données personnelles sur les plateformes afin de lutter contre la fraude ne lui a pas été communiqué à ce stade et appelle à ce qu’il le soit rapidement.
Sur les caractéristiques du traitement Polygraphe
Sur le principe de minimisation
Le dispositif se décomposera en quatre phases :
Tout d’abord, une phase d’extraction des données des plateformes concernées relatives aux pages des professionnels et de chaque utilisateur ayant posté un avis sur celles-ci. La collecte des données à caractère personnel sera réalisée par une technique d’aspiration du contenu des pages web via des scripts ("webscraping"). Cette méthode permettra de récupérer toutes les données disponibles pour chaque professionnel, notamment le texte complet de commentaires laissés à son sujet.
Les données collectées feront ensuite l’objet d’une analyse afin de supprimer les données sensibles.
Les données restantes seront analysées selon plusieurs critères prédéfinis tels que l’évolution de la note moyenne, la divergence des notes, ou encore la présence d’avis signalant de faux avis.
L’agrégation de ses critères permet d’obtenir un score global de suspicion par professionnel.
Les résultats obtenus seront visualisables par les agents habilités après authentification individuelle. Pour chaque professionnel, les agents habilités pourront voir le score global de suspicion ainsi que le score particulier pour chaque critère. L’AIPD précise que si, après analyse des avis, l’agent estime qu’il est en présence de faux avis, il pourra transmettre ces analyses au service concerné chargé de diligenter des enquêtes.