AgentPublic/cnil huggingface dataset:
5. Le 14 janvier 2019, conformément à l’article 56 du RGPD, la CNIL a informé l’ensemble des autorités de contrôle européennes de sa compétence pour agir en tant qu’autorité de contrôle chef de file concernant les traitements transfrontaliers mis en œuvre par la société, compétence tirée par la CNIL de ce que l’établissement principal de la société se trouve en France.
6. Après échanges entre autorités de protection des données, il s’est avéré que l’ensemble des autorités européennes sont concernées au sens de l’article 4, 22) du RGPD.
7. Dans le cadre de l’instruction de la réclamation déposée par l’association NOYB, la CNIL a interrogé la société sur les suites données aux demandes du plaignant. Cette instruction a donné lieu à un échange de courriers entre la CNIL et la société, en date des 27 mars, 29 avril, 9 septembre, 9 octobre, 27 décembre 2019 et 17 février 2020. Une réunion s’est aussi tenue le 17 janvier 2020.
8. Dans le prolongement de cette instruction et en application de la décision n° 2020-005C du 27 décembre 2019 de la présidente de la Commission, une délégation de la CNIL a effectué plusieurs contrôles auprès de la société afin vérifier le respect des dispositions de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après " la loi Informatique et Libertés " ou " loi du 6 janvier 1978 ") et du RGPD.
9. Ainsi, le 29 janvier 2020, la délégation a envoyé un questionnaire à la société, auquel cette dernière a répondu le 27 mars 2020, portant sur son organisation, sur les traitements de données à caractère personnel qu’elle met en œuvre, sur sa qualification en tant que responsable de traitement, sur ses relations avec ses clients et partenaires et sur sa gestion des demandes d’exercice des droits.
10. Les 16 et 17 septembre 2020, la délégation a mené un contrôle sur place dans les locaux de la société, au cours duquel elle a notamment procédé à des vérifications sur le site web de deux partenaires de la société. La délégation a également vérifié les suites données à la demande d’exercice des droits du plaignant et obtenu des informations sur les modalités de mise en œuvre du droit de retirer son consentement et du droit à l’effacement. Le contrôle sur place a donné lieu à deux procès-verbaux n° 2020-005/1 et 2020-005/2, notifiés à la société le 30 septembre 2020.
11. Le 13 octobre 2020, partant d’une liste fournie par la société des cent sites web à partir desquels elle collecte le plus de données, la délégation a mené un contrôle en ligne auprès de plusieurs de ces sites pour vérifier notamment les modalités du dépôt du cookie X dans le terminal des utilisateurs et le dispositif mis en œuvre pour recueillir leur consentement. Le contrôle en ligne a donné lieu à un procès-verbal n° 2020-005/3, notifié à la société le 14 octobre 2020.
12. Le 23 juin 2021, sur le fondement de l’article 22 de la loi du 6 janvier 1978, la présidente de la Commission a désigné Monsieur François PELLEGRINI en qualité de rapporteur aux fins d’instruction de ces éléments.
13. Le 9 juin 2022, le rapporteur a adressé une demande complémentaire à la société pour se voir notamment communiquer les dernières versions des conditions générales d’utilisation des services X, ainsi qu’un échantillon récent de contrats conclus par la société avec ses partenaires. La société y a répondu le 17 juin 2022.
14. Le 3 août 2022, à l’issue de son instruction, le rapporteur a fait notifier à la société un rapport détaillant les manquements aux articles 7, 12, 13, 15, 17 et 26 du RGPD qu’il estimait constitués en l’espèce.
15. Ce rapport proposait à la formation restreinte de la Commission de prononcer une amende administrative à l’encontre de la société d’un montant qui ne saurait être inférieur à soixante millions d’euros. Il proposait également que cette décision soit rendue publique et ne permette plus d’identifier nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.
16. Le 31 octobre 2022, la société a produit des observations en réponse au rapport du rapporteur.
17. Le 7 décembre 2022, le rapporteur a répondu aux observations de la société.
18. Le 30 janvier 2023, la société a présenté de nouvelles observations en réponse à celles du rapporteur.
19. Par courrier du 21 février 2023, le rapporteur a informé le conseil de la société que l’instruction était close, en application de l’article 40, III, du décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi Informatique et Libertés. 
20. Le rapporteur et la société ont présenté des observations orales lors de la séance de la formation restreinte du 16 mars 2023.
II. Motifs de la décision
A. Sur la procédure de coopération européenne 
21. En application de l’article 60 paragraphe 3 du RGPD, le projet de décision adopté par la formation restreinte a été transmis le 16 mai 2023 aux autorités de contrôle européennes concernées.
22. Au 13 juin 2023, aucune des autorités de contrôle concernées n’avait formulé d’objection pertinente et motivée à l’égard de ce projet de décision, de sorte que, en application de l’article 60, paragraphe 6, du RGPD, ces dernières sont réputées l’avoir approuvé.
B. Sur le traitement en cause, la qualification de données à caractère personnel et la responsabilité de traitement. 
1. Sur le traitement en cause ayant pour finalité l’affichage de publicité personnalisée
23. L’article 4, 2) du RGPD définit un traitement comme " toute opération ou tout ensemble d'opérations effectuées ou non à l'aide de procédés automatisés et appliquées à des données ou des ensembles de données à caractère personnel, telles que la collecte, l'enregistrement, l'organisation, la structuration, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, la limitation, l'effacement ou la destruction ".
24. En l’espèce, la formation restreinte relève que la société met en œuvre un traitement de données dit de " reciblage publicitaire " à des fins d’affichage de publicité personnalisée (ci-après le " traitement en cause "). 
25. Concrètement, la société collecte les données de navigation des internautes grâce à des cookies qui sont déposés dans leurs terminaux lorsqu’ils se rendent sur l’un des sites de leurs […] partenaires, comprenant des éditeurs et des annonceurs. Lorsqu’un internaute se rend sur le site web d’un partenaire, la société inscrit un cookie dans le terminal de son navigateur, lequel se voit attribuer un identifiant unique, appelé X ID, qui lui permettra de le reconnaître lors de ses futures visites sur les autres sites des partenaires.
26. Ainsi, lorsqu'un internaute visite le site web d'un annonceur partenaire, la société enregistre dans sa base de données les actions de l'internaute via le cookie (par exemple, la visite de la page d'accueil, la connexion à un compte utilisateur, le clic sur une page " produit ", l'ajout d'un article au panier d'achat).
27. Ensuite, lorsque l'internaute visite le site web d'un éditeur partenaire, l'éditeur adresse une requête à la société afin de lui transmettre des informations telles que la dimension de l'encart publicitaire, la nature du site éditeur ainsi qu'un identifiant permettant à la société de reconnaître l'internaute.
28. La société utilise alors ses technologies de traitement de données pour déterminer quelle publicité serait la plus pertinente à afficher à l'internaute en fonction de ses habitudes de navigation et des produits ou services qui pourraient l’intéresser. En fonction de cette analyse, la société participe ensuite à une enchère en temps réel (" real time bidding " ou " RTB ") pour l'affichage d'une publicité sur l'espace publicitaire de l'éditeur. Si la société remporte l'enchère, la bannière publicitaire d’un annonceur est affichée dans l'encart disponible sur le site web de l’éditeur.
29. Ainsi, en tant qu'intermédiaire entre des annonceurs et des éditeurs de sites web, la société aide, d’une part, les annonceurs à toucher leur public cible avec des publicités plus pertinentes, d’autre part, les éditeurs à valoriser leurs espaces publicitaires.
30. La formation restreinte relève que la société reconnaît mettre en œuvre le traitement décrit aux paragraphes précédents. 
2. Sur la qualification de données à caractère personnel des données traitées par la société X 
31. L’article 4, 1) du RGPD définit une donnée à caractère personnel comme " toute information se rapportant à une personne physique identifiée ou identifiable (ci-après dénommée " personne concernée ") ; est réputée être une " personne physique identifiable " une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu'un nom, un numéro d'identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale ".
32. Le considérant 30 du RGPD, qui s’inscrit dans une jurisprudence bien établie de la Cour de justice de l’Union européenne (CJUE, 24 nov. 2011, Scarlet Extended SA C 70/10, pt. 51 et 19 oct. 2016, Breyer, C-582/14) prévoit quant à lui qu’un identifiant en ligne associé à une personne physique, tel qu’une adresse IP ou un témoin de connexion, peut " laisser des traces qui, notamment lorsqu’elles sont combinées aux identifiants uniques et à d’autres informations reçues par les serveurs, peuvent servir à créer des profils de personnes physiques et à identifier ces personnes ".
33. Dans son arrêt Breyer précité, rendu sous l’empire de la directive 95/46/CE, la CJUE a souligné l’importance d’une approche casuistique du caractère identifiant ou non d’une donnée plutôt qu’une position générale et de principe. Elle a indiqué que, pour déterminer si une personne est identifiable, il convenait de prendre en considération l’ensemble des moyens susceptibles d’être raisonnablement mis en œuvre, soit par le responsable du traitement, soit par une autre personne, pour identifier ladite personne.
34. Le rapporteur considère que la société traite des données à caractère personnel, compte tenu de ce qu’au regard du nombre et de la diversité des données collectées et du fait qu’elles sont toutes reliées à un identifiant, il est possible, avec des moyens raisonnables, de réidentifier les personnes physiques auxquelles ces données se rapportent.
35. La société estime qu’elle traite des " évènements de navigation ", qui sont des données techniques pseudonymisées qui ne lui permettent pas d’identifier directement les internautes auxquelles elles sont rattachées. Elle soutient qu’elle n’est amenée à reconnaître l’identité d’une personne que dans l’hypothèse d’une demande de droit d’accès où elle pourra faire la correspondance entre l’identifiant de cookie X (X ID) et l’identité de la personne physique. En dehors d’une telle hypothèse, elle estime que le risque de réidentification est très faible et produit sur ce point des simulations effectuées par des prestataires.
36. Elle en tire comme conclusion que dès lors qu’elle ne traite que des données pseudonymisées, les éventuels manquements qu’elle aurait commis ont eu un impact très restreint pour les personnes concernées, ce dont la formation restreinte devrait tenir compte dans son appréciation.
37. La formation restreinte rappelle que seule une véritable anonymisation des données traitées, en faisant perdre aux données leur caractère " personnel ", c’est-à-dire, sans possibilité de réidentifier la personne physique à laquelle elles se rapportent, ferait échapper le traitement à l’ensemble des exigences du RGPD. 
38. En l’occurrence, la formation restreinte relève que si la société ne prétend pas traiter des données anonymisées, elle affirme ne traiter que des données pseudonymisées présentant un risque de réidentification très faible.
39. La formation restreinte relève également que l’identifiant de cookie X ID, attribué par la société au moyen des cookies qu’elle dépose, a pour but de distinguer chaque individu dont elle collecte les données et que de très nombreuses informations destinées à enrichir le profil publicitaire de l’internaute sont associées à cet identifiant, parmi lesquelles :
- des données liées à l’identification de la personne : emplacement géographique à partir d’adresse IP, identifiant utilisateur X, identifiant de terminal, identifiants fournis par des partenaires, adresse de courrier électronique sous forme hachée fournie par les partenaires ;
- des données liées à l’activité de la personne, qui correspondent au suivi de l’historique de navigation de l’internaute à travers les sites visités, les produits consultés, ceux ajoutés au panier ainsi que l’acte d’achat. Cela comprend également les éventuelles interactions de l’utilisateur avec les publicités qui lui sont présentées (l’utilisateur a-t-il cliqué sur la bannière ? a-t-il procédé à un achat ?) ;
- des données dérivées ou inférées à partir des informations précédentes afin de pouvoir proposer à l’utilisateur les produits les plus pertinents, compte tenu de ses centres d’intérêt.
40. Ainsi, la formation restreinte note que si la société ne dispose pas directement de l’identité des personnes physiques auxquelles sont liés les terminaux sur lesquels des cookies sont inscrits, la réidentification peut être facilitée par le fait que, dans certaines hypothèses, la société collecte, outre les données liées aux évènements de navigation, d’autres données qui facilitent la réidentification telles que les adresses électroniques des personnes ayant fait leur parcours de navigation depuis un environnement authentifié (ou " logué ") sous forme hachée, des identifiants leur correspondant générés par d’autres acteurs, l’adresse IP sous forme hachée ou encore l’agent utilisateur du terminal utilisé.
41. Par conséquent, dès lors que la société est en mesure de réidentifier des personnes par des moyens raisonnables, les données traitées conservent un caractère personnel, au sens de l’article 4, 1) du RGPD. 
42. Il en résulte que le RGPD est applicable et que, eu égard à ce qui a été indiqué ci-dessus, la société est responsable de traitement du traitement en cause. 
C. Sur le manquement à l’obligation d’être en mesure de démontrer que la personne concernée a donné son consentement
43. Aux termes de l’article 6, paragraphe 1, du RGPD : " le traitement n'est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie :
 la personne concernée a consenti au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques;
 le traitement est nécessaire à l'exécution d'un contrat auquel la personne concernée est partie ou à l'exécution de mesures précontractuelles prises à la demande de celle-ci;
 le traitement est nécessaire au respect d'une obligation légale à laquelle le responsable du traitement est soumis;
 le traitement est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d'une autre personne physique;
 le traitement est nécessaire à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement;
le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent une protection des données à caractère personnel, notamment lorsque la personne concernée est un enfant.
Le point f) du premier alinéa ne s'applique pas au traitement effectué par les autorités publiques dans l'exécution de leurs missions ".
44. En vertu de l’article 4, 11) du RGPD, le consentement est défini comme " toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l'objet d'un traitement ".
45. L’article 7, paragraphe 1, du RGPD relatif aux conditions applicables au consentement prévoit que : " dans les cas où le traitement repose sur le consentement, le responsable du traitement est en mesure de démontrer que la personne concernée a donné son consentement au traitement de données à caractère personnel la concernant ".
46. Le rapporteur considère que la société n’a mis en place aucune mesure lui permettant de s’assurer que les données à caractère personnel qu’elle traite sont uniquement celles pour lesquelles un consentement valable de la personne a été recueilli. Il note en cela que parmi les sites web contrôlés par la CNIL, plus de la moitié des sites édités par ses partenaires ne recueillaient pas un consentement valide et que la société n’avait pas mis en œuvre de mécanisme d’audit de ses partenaires.
47. La société, invoquant l’arrêt Fashion ID (CJUE, 29 juillet 2019, C 40/17), fait valoir que ses partenaires, qui ont la qualité de responsables conjoints de traitement, restent les mieux placés pour collecter le consentement des personnes concernées en ce que le cookie X est déposé dans le terminal des internautes lors de la navigation sur leur site web.
48. La société ajoute qu’à ce titre, les différents accords conclus avec ses partenaires en application de l’article 26 du RGPD (notamment les Conditions générales d’utilisation de services précitées et son Accord de protection des données) prévoient que cette obligation leur revient. Elle estime que cette répartition contractuelle est suffisante pour assurer le respect de cette obligation, qui s’impose à ses partenaires en vertu du principe de force obligatoire des contrats.
49. Elle soutient que rien ne permet d’établir que les pratiques constatées auprès des douze sites web visités par la délégation de contrôle seraient représentatives de l’état de conformité de ses […] partenaires. 
50. Bien qu’elle prétende ne pas avoir d’obligation propre à s’assurer que ses partenaires ont valablement recueilli le consentement des personnes concernées, la société souligne néanmoins ne pas hésiter à résilier les contrats conclus avec ceux qui ne respectent pas leurs obligations en matière de recueil du consentement des internautes.
51. Elle ajoute avoir mis en œuvre d’autres mécanismes de contrôle, tels qu’une stratégie d’audit de ses partenaires qui, au 31 octobre 2022, a permis de vérifier l’état de conformité de près de […] de ses partenaires, ainsi qu’un processus dit de " Know your client " par lequel elle vérifie la conformité de ses futurs partenaires à plusieurs exigences réglementaires (présence d'une bannière cookie et d'une politique de confidentialité) préalablement à la conclusion d’un contrat de services avec eux. Enfin, elle indique avoir résilié son contrat avec l’un de ses partenaires qui avait été contrôlé par la délégation de la CNIL et avoir adressé un avertissement à un autre partenaire ne respectant pas la règlementation applicable en matière de recueil de consentement des internautes.
52. La formation restreinte rappelle qu’en cas de responsabilité conjointe, l’article 26 du RGPD oblige les responsables de traitement conjoints à s’assurer, par le biais d’un accord, qu’ils respectent mutuellement le RGPD et notamment qu’ils organisent entre eux la meilleure façon de répondre aux droits des personnes concernées, en fonction de la nature du traitement et de leur responsabilité respective vis-à-vis de ce traitement. 
53. Elle souligne qu’aux points 167 et 168 de ses lignes directrices 07/2020 concernant les notions de responsable du traitement et de sous-traitant dans le RGPD, le comité européen de la protection des données (CEPD) considère qu’en cas de responsabilité conjointe, " les deux responsables du traitement sont toujours tenus de veiller à disposer tous deux d’une base juridique pour le traitement " et qu’ils " peuvent disposer d’un certain degré de flexibilité dans la répartition et l’attribution des obligations entre eux, pour autant qu’ils garantissent le plein respect des exigences du RGPD en ce qui concerne le traitement spécifique ".
54. En premier lieu, s’agissant des rôles et obligations respectives de la société X et des sites partenaires, la formation restreinte relève que dans le cadre de son traitement ayant pour finalité l’affichage de publicité personnalisée, la société traite les données à caractère personnel des internautes visitant les sites de ses partenaires qui sont préalablement collectées par l’intermédiaire du cookie X.
55. Elle relève par ailleurs que la société et les sites de ses partenaires à partir desquels est déposé le cookie X dans le terminal des internautes sont responsables conjoints des opérations de dépôt du cookie X et de la collecte de données des internautes opérée grâce à ce cookie. 
56. En ce qui concerne le cadre juridique applicable à ces différentes opérations de traitement, la formation restreinte rappelle que si le dépôt du cookie X dans le terminal de l’internaute se rendant sur le site web d’un partenaire et qui permet à la société d’attribuer un identifiant unique à cet internaute est soumis aux dispositions de l’article 5, paragraphe 3, de la directive 2002/58/EC du Parlement européen et du Conseil du 12 juillet 2002 sur la protection de la vie privée dans le secteur des communications électroniques (ci-après la " directive " ePrivacy " "), transposées en droit français à l’article 82 de la loi Informatique et Libertés, le traitement subséquent à des fins publicitaires, qui est opéré à partir des données à caractère personnel collectées par l’intermédiaire de ce cookie, est soumis aux dispositions du RGPD. 
57. En ce qui concerne la base juridique applicable à ces différentes opérations de traitement, la formation restreinte rappelle d’abord qu’au titre de la directive " ePrivacy ", les opérations de lecture ou d’écriture d’information dans le terminal d’un utilisateur ne peuvent être mises en œuvre sans le consentement préalable de ce dernier.
58. Elle relève, ensuite, s’agissant du traitement en cause, que la société a indiqué à la délégation de contrôle dans sa réponse au questionnaire du 29 janvier 2020 que : " tous les traitements que nous réalisons dans le cadre de nos services de publicités en Europe sont basés sur le consentement de l’utilisateur ". Par ailleurs, la politique de confidentialité des traitements de la société mentionne également le consentement comme la base légale applicable pour les finalités d’affichage de publicité personnalisée, qu’elle soit ciblée ou contextuelle. 
59. La formation restreinte relève que, selon une position constante de la CNIL, l’articulation des règles de la directive " ePrivacy " et du RGPD permet à l’éditeur du site à partir duquel est déposé le cookie de recueillir le consentement nécessaire au dépôt du cookie en même temps que celui nécessaire au traitement subséquent mis en œuvre à partir des données collectées par ce cookie. 
60. Précisément, elle remarque, en l’occurrence, que la société s’est organisée d’une telle façon avec ses partenaires que les conditions générales d’utilisation des services X, auxquelles les partenaires de la société ont adhéré, précisent qu’il revient bien au partenaire de recueillir le consentement de la personne concernée pour le traitement subséquent opéré à partir des données collectées par ce cookie.