Vu la convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive n° 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la directive n° 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 modifiée concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 45 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération de la Commission nationale de l'informatique et des libertés n° 2006-147 du 23 mai 2006 fixant son règlement intérieur ;
Vu la décision de la Présidente de la Commission nationale de l'informatique et des libertés n° 2013-109C du 29 mars 2013 de procéder à une mission de contrôle auprès de la société X ;
Vu les autres pièces du dossier et notamment le courrier du G29 du 16 octobre 2012 ;
La société X (ci-après "X" ou la "société") a été créée en 1998 et a son siège social [...].
La société a créé le moteur de recherche X la même année et la version française de ce moteur de recherche est apparue en l'an 2000. Puis, la société a développé de nombreux nouveaux services à destination des particuliers et des entreprises. X est devenu le premier moteur de recherche au monde avec plus d'un milliard d'adresses URL indexées en 2000.
A ce jour, la société possède plus de 70 bureaux implantés dans une quarantaine de pays et compte environ 30 000 salariés à travers le monde.
Sur les faits et la procédure
A. Les nouvelles règles de confidentialité de X du 1er mars 2012
Le 24 janvier 2012, la société a annoncé publiquement qu'elle entendait modifier ses règles de confidentialité à compter du 1er mars 2012, afin de fusionner environ 70 politiques différentes au sein d'un même document (ci-après "les règles de confidentialité" ou "la politique de confidentialité").
Cette nouvelle politique de confidentialité précise, dans sa version française, qu'elle s'applique "à tous les services proposés par X et par ses filiales, y compris aux services proposés sur d'autres sites (comme par exemple [ses] services publicitaires), mais excluent les services régis par d'autres règles de confidentialité n'incorporant pas les présentes". Ainsi, ces règles sont communes à environ une soixantaine de services (ci-après "les services annexe n° 1 - liste des services") proposés par la société, lesquels sont accessibles sur différents types de terminaux de connexion (ordinateurs, téléphones mobiles, tablettes...).
La société précise dans les règles de confidentialité : "les données que nous collectons par le biais de nos services nous permettent de les fournir, les entretenir, les protéger, les améliorer, tout en développant de nouveaux services et en protégeant X ainsi que nos utilisateurs. Ces données nous permettent également de vous proposer des contenus adaptés, tels que des annonces et des résultats de recherche plus pertinents".
En outre, la nouvelle politique indique : "les informations personnelles que vous fournissez pour l'un de nos services sont susceptibles d'être combinées avec celles issues d'autres services X (y compris des informations personnelles), par exemple pour faciliter le partage de vos informations avec des personnes que vous connaissez".
Ainsi, est-il clairement indiqué que toutes les données collectées par la société dans le cadre de ses services peuvent être combinées entre elles.
Les règles de confidentialité s'appliquent à plusieurs catégories d'utilisateurs : les personnes utilisant un service en étant authentifiées sur un compte X (ci-après "les utilisateurs authentifiés"), celles accédant à un service sans être authentifiées à un compte X (ci-après "les utilisateurs non authentifiés") et les personnes ne sollicitant pas directement un service X mais dont les données sont collectées quand elles visitent des sites Internet tiers (ci-après "les utilisateurs passifs"). Un même internaute peut, lors d'une ou de diverses navigations, revêtir les trois statuts précités de manière alternative, ces statuts n'étant pas exclusifs les uns des autres.
De plus, X est techniquement en mesure d'identifier l'internaute qui aurait successivement navigué sur Internet en tant qu'utilisateur authentifié, non authentifié et utilisateur passif.
Selon la société, les règles de confidentialité mises à jour reflètent une volonté de fournir une navigation plus intuitive et fluide aux utilisateurs des services de X.
Outre ces règles de confidentialité, la société met à disposition des utilisateurs plusieurs autres supports d'information tels que la foire aux questions , le centre d'aide , des règles de confidentialité propres à certains services (ex : [...] ) et des fenêtres d'information contextuelle sur certains services.
B. Brève présentation du fonctionnement des services de X
La société propose deux types de services, ceux destinés directement aux particuliers et qui concernent uniquement les utilisateurs authentifiés et/ou non authentifiés, et ceux qui s'adressent à des entreprises ou des éditeurs de sites Internet et concernent également les utilisateurs passifs. De plus, la société met à disposition de ses utilisateurs divers outils leur permettant de gérer leurs données.
- Les services à destination des particuliers
La première catégorie regroupe les services listés en annexe n°1 [...].
Dans le cadre de ces services, la société collecte diverses informations sur les utilisateurs telles que les données pouvant être renseignées directement par ces derniers (tel est le cas des nom, prénom, numéro de téléphone, localisation géographique, centres d'intérêts, etc.) ainsi que les différentes pages consultées, les liens cliqués ou encore les contenus appréciés des utilisateurs.
Ces données sont également collectées par la société via les cookies [...] associés aux utilisateurs non authentifiés et les cookies [...] pour les profils authentifiés (annexe n° 2 - principaux cookies X / boutons "+1"). Ces cookies sont déposés et lus sur les terminaux de communications électroniques des utilisateurs lorsque ceux-ci accèdent aux services précités.
- Les services à destination des entreprises ou éditeurs de sites Internet Cette catégorie regroupe essentiellement deux services.
D'une part, le service [...] , outil gratuit d'analyse d'audience Internet de X, permet à des sites d'effectuer une analyse statistique de leur fréquentation.
Dans le cadre de ce service, la société enregistre diverses informations sur les visiteurs des sites utilisant le service d'analyse statistique telles que l'adresse IP, la page consultée, le nom du site consulté ou encore l'historique de navigation sur ce site. Ces données sont notamment collectées via les cookies [...], lesquels sont déposés et lus sur les terminaux de communications électroniques des utilisateurs lorsque ceux-ci accèdent à un site Internet utilisant le service d'analyse statistique.
D'autre part, [...] regroupe les services ([...]) permettant aux entreprises de diffuser des annonces sur certains services de X et son réseau publicitaire ([...]).
La société recueille diverses informations sur les visiteurs des sites utilisant ses services publicitaires telles que l'historique de navigation sur les sites consultés. Ces données sont notamment collectées via les cookies associés au nom de domaine [...], qui sont déposés et lus sur les terminaux de communications électroniques des utilisateurs lorsque ceux-ci accèdent à un site Internet utilisant les services publicitaires de X.
Par ailleurs, des boutons "+1" ou certains services de X peuvent être intégrés sur des pages de sites Internet tiers (ex : présence d'une barre de recherche X issue de [...] ou d'une carte issue de [...]). Les boutons "+1" permettent à l'utilisateur authentifié de faire connaître les contenus qu'il apprécie. En mode non authentifié, la présence de ces boutons et services sur une page Internet permet la collecte, par X, d'informations sur le visiteur du site Internet concerné (ex : adresse IP, site Internet visité).
- Les principaux outils mis à disposition des utilisateurs pour gérer leurs données
La société met en oeuvre le [...], outil listant les données associées au compte X d'un utilisateur authentifié. Il lui permet, notamment, de gérer ses historiques de recherches sur les services de X et de paramétrer certaines règles de confidentialité telles que le partage de certaines données avec d'autres utilisateurs.
En outre, un Gestionnaire de préférences pour les annonces ("Ads preference manager") permet à tout type d'utilisateur de s'opposer à recevoir de la publicité personnalisée tant lors d'une navigation sur les services de X proposant cette fonctionnalité ([...]) que sur les sites Internet tiers.
C. L'historique des échanges entre le groupe de travail de l'article 29 et X
Le 2 février 2012, le groupe de travail de l'article 29 sur la protection des données (ci-après "le G29") a informé la société qu'il s'apprêtait à analyser ses nouvelles règles de confidentialité au regard de la Directive n° 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel et à la libre circulation de ces données (ci-après "la directive"). Il a été demandé à la société de suspendre l'application de cette nouvelle politique, dans l'attente des conclusions du G29 représenté par la Commission nationale de l'informatique et des libertés (ci-après la "CNIL" ou la "Commission").
Par un courrier du 3 février 2012 adressé à la CNIL, la société a exposé sa démarche de refonte de la politique de confidentialité et a indiqué qu'elle n'entendait pas différer la mise en ligne des nouvelles règles dans la mesure où elle avait, notamment, déjà informé le public et ses utilisateurs de ce lancement au 1er mars 2012 et que cela risquait de créer de la confusion.
Le 27 février suivant, la CNIL représentant le G29 a adressé un courrier à la société l'invitant de nouveau à retarder la mise en oeuvre de sa nouvelle politique de confidentialité en raison de doutes quant à la conformité de l'information très générale qu'elle présentait et de la combinaison de données entre les services, à la directive précitée et à la directive n° 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 modifiée concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques.
Par courrier du 28 février 2012, la société a informé la CNIL qu'elle maintenait la mise en oeuvre de ses nouvelles règles de confidentialité au ter mars 2012 pour les raisons exposées dans son courrier du 3 février 2012. Elle a également indiqué qu'elle souhaitait pouvoir être entendue par le G29 afin de discuter de la situation.
Le 16 mars 2012, la CNIL a adressé à la société un questionnaire afin d'obtenir des clarifications sur les nouvelles règles de confidentialité et notamment, sur la combinaison de données. La société a été invitée à y répondre avant le 5 avril suivant et il lui a été indiqué, qu'à ce stade, une réunion apparaissait prématurée.
Par courrier du 5 avril 2012, complété le 20 avril suivant, la société a communiqué à la CNIL les réponses au questionnaire précité.
Le 22 mai 2012, la CNIL a indiqué à la société que ses réponses nécessitaient des clarifications et lui a adressé un questionnaire complémentaire, auquel la société a répondu par courrier du 21 juin 2012.
Le 19 septembre 2012, la CNIL a rencontré des représentants de la société afin de leur présenter un état des lieux de l'analyse du G29 et les recommandations qui pourraient en découler.
Par courrier du 16 octobre 2012, signé par les 27 Etats de l'Union européenne, le G29 a adressé à la société un certain nombre de recommandations pratiques visant à ce que la société se mette en conformité au regard des deux directives précitées. Ainsi, concernant l'information des personnes et la combinaison de données, plusieurs demandes ont été formulées telles qu'améliorer l'information des utilisateurs passifs ou recueillir le consentement des personnes pour certaines combinaisons de données.
Le 21 novembre 2012, la CNIL a rappelé à la société qu'elle devait se conformer aux recommandations au plus tard le 15 février 2013. La société en a accusé réception, par courrier du 13 décembre 2012.
Puis, le 8 janvier 2013, la société a fait part au G29 de certaines observations quant aux points évoqués dans le courrier du 16 octobre 2012. Elle a également demandé, à nouveau, que ses représentants puissent être reçus par le G29 dans le cadre d'une réunion.
Lors de la séance plénière du G29 du 26 février 2013, il a été décidé d'instaurer un sous-groupe de travail ([...]) en charge de poursuivre les investigations. Ce dernier est piloté par la CNIL et composé de membres des autorités de protection des données à caractère personnel française, néerlandaise, espagnole, allemande, anglaise et italienne.
Par courrier du 28 février 2013, la CNIL a fait savoir à la société qu'à son sens, elle ne s'était toujours pas conformée aux exigences de la directive. Il lui a été précisé que le sous-groupe de travail la recevrait en réunion le 19 mars suivant.
Le 6 mars 2013, la société représentée par le cabinet d'avocats A a interrogé la CNIL sur l'organisation et le cadre légal de cette réunion. Ces éléments ont été précisés à la société, par un courrier de réponse du 8 mars suivant.
La réunion du 19 mars 2013 s'est tenue en présence des représentants de la société et du sous-groupe de travail dans les locaux de la CNIL.
Puis la société a, par courrier du 26 mars 2013, annoncé au sous-groupe du G29 qu'un certain nombre de mesures allaient être mises en oeuvre afin d'améliorer la protection des données de ses utilisateurs.
Les analyses du G29 au regard des directives précitées étant terminées, la CNIL a décidé d'entamer sa propre analyse des règles de confidentialité au regard de la loi n° 78-17 du 6 janvier 1978 modifiée.
D. La décision de contrôle du 29 mars 2013
Par décision n° 2013-109C du 29 mars 2013, la Présidente de la CNIL a chargé le secrétaire général de procéder ou de faire procéder à une mission de vérification auprès de la société X dans les conditions prévues par l'article 44 de la loi n° 78-17 du 6 janvier 1978 modifiée.
Cette décision a été notifiée à la société par courrier du 2 avril 2013. Il lui a été précisé que les pouvoirs d'investigation de la CNIL pourront impliquer des échanges d'informations avec d'autres autorités de protection des données à caractère personnel et avec le G29.
La CNIL a, ainsi, demandé au G29, par courrier du 29 mars 2013, que tous les documents détenus par lui et relatifs aux nouvelles règles de confidentialité soient adressés à la Commission. L'ensemble de ces pièces lui a été notifié, par le G29, le 9 avril 2013.
Par courriers du 29 mars 2013, la CNIL a également sollicité la coopération des membres du sous-groupe de travail, notamment par le biais d'échanges d'informations en application de l'article 28-6 de la directive précitée.
Le 2 avril 2013, les membres du sous-groupe de travail ont publiquement annoncé qu'ils entendaient mener des investigations quant aux règles de confidentialité mises en ligne par la société, au regard de leur propre législation nationale.
Par courrier du 9 avril 2013 adressé à chacune de ces six autorités, la société a souhaité savoir si le sous-groupe de travail du G29 restait son interlocuteur sur ce sujet.
Le 17 avril suivant, la CNIL a précisé à la société, au nom des six autorités, que chacune d'elle mènera ses propres investigations selon ses procédures nationales et qu'il appartiendra de répondre séparément à chaque correspondance adressée par l'une d'elles. Il a, également, été reprécisé à la société que celles-ci pourront décider de partager des informations entre elles. En outre, si la société décidait de s'adresser directement au sous-groupe de travail du G29, toute information portée à sa connaissance serait diffusée à tous les membres du G29.
II. Sur les manquements constatés
Au terme de l'analyse faite par la CNIL des nouvelles règles de confidentialité et des éléments de réponse apportés au G29, les manquements suivants sont constatés.
Sur l'obligation de définir des finalités déterminées et explicites
Aux termes du 2° de l'article 6 de la loi n° 78-17 du 6 janvier 1978 modifiée, "les données à caractère personnel sont collectées pour des .finalités déterminées, explicites et légitimes et ne sont pas traitées ultérieurement de manière incompatible avec ces finalités".
La société précise, dans ses règles de confidentialité, collecter les données fournies par ses utilisateurs ("données que vous nous fournissez") et celles issues de ses services ("données que nous collectons lors de votre utilisation de nos services") dans l'objectif de "les fournir, les entretenir, les protéger et les améliorer, tout en développant de nouveaux services et en protégeant X ainsi que [ses] utilisateurs". Ces données permettent également de proposer aux utilisateurs "des contenus adaptés, tels que des annonces et des résultats de recherche plus pertinents". En outre, il est précisé que les informations fournies pour l'un des services "sont susceptibles d'être combinées avec celles issues d'autres services de X".
Interrogée par le G29 sur ces finalités jugées trop vagues, la société a apporté certaines précisions, notamment par le biais d'exemples ponctuels.
Or, certaines finalités demeurent toujours insuffisamment déterminées et explicites, notamment celles liées à l'amélioration des services, au développement de nouveaux services et à la combinaison potentielle de données avec celles issues d'autres services. Ces finalités sont évasives, l'utilisateur, quel que soit son statut, ne pouvant anticiper l'étendue et la teneur des notions de service et de combinaison.
Au surplus, ces finalités ne permettent pas à l'utilisateur d'appréhender concrètement l'utilisation qui pourrait être faite de ses données à l'avenir. Or, si l'utilisateur peut raisonnablement s'attendre à ce qu'un traitement de ses données soit réalisé pour le service qu'il a utilisé, en revanche, il n'a nullement conscience que ses données pourront être traitées pour tout autre service inexistant au jour de la collecte. Les finalités précitées semblent pouvoir concerner toute future activité que la société déciderait de développer et ne sont, en conséquence, pas suffisamment déterminées et explicites.
A cet égard, la société utilise à plusieurs reprises les termes peut , pouvons et susceptible pour évoquer les données qu'elle collecte et les finalités qu'elle poursuit, aboutissant ainsi à une grande incertitude sur les traitements effectivement réalisés. Il ressort, ainsi, de l'information diffusée auprès de ses utilisateurs que la société se réserve des pouvoirs en grande partie discrétionnaires et imprévisibles, qui sont incompatibles avec la notion de finalité déterminée et explicite.
Il résulte de ce qui précède que ces faits constituent un manquement aux obligations découlant du 2° de l'article 6 précité.
Sur l'obligation d'informer les personnes
En application du I de l'article 32 de la loi n° 78-17 du 6 janvier 1978 modifiée : "La personne auprès de laquelle sont recueillies des données à caractère personnel la concernant est informée, sauf si elle l'a été au préalable, par le responsable du traitement ou son représentant
1° De l'identité du responsable du traitement et, le cas échéant, de celle de son représentant ; 2° De la finalité poursuivie par le traitement auquel les données sont destinées ; 3° Du caractère obligatoire ou facultatif des réponses ;
4° Des conséquences éventuelles, à son égard, d'un défaut de réponse ;
5° Des destinataires ou catégories de destinataires des données ;
6° Des droits qu'elle tient des dispositions de la section 2 du présent chapitre ;
7° Le cas échéant, des transferts de données à caractère personnel envisagés à destination d'un Etat non membre de la Communauté européenne.
Lorsque de telles données sont recueillies par voie de questionnaires, ceux-ci doivent porter mention des prescriptions figurant aux 1°, 2°, 3° et 6°".
Préalablement à la refonte de ses règles de confidentialité, la société déployait pour chaque service une charte de confidentialité spécifique. Chaque politique détaillait pour le service concerné les finalités de la collecte des données des utilisateurs. Dorénavant, les règles de confidentialité concernent une multitude de services aux spécificités diverses. Si la mise en ligne d'un document unique poursuit un objectif de simplification pour l'utilisateur, cela ne saurait conduire à une réduction de la qualité de son information.
Or, d'une part, tel qu'indiqué précédemment, certaines finalités définies par la société sont insuffisamment déterminées et explicites, de sorte qu'il est impossible de considérer que les utilisateurs sont effectivement informés du traitement actuel et ultérieur de leurs données. L'information des personnes, pour être effective, suppose d'être claire, complète et détaillée.
A défaut d'une telle information, la personne concernée qui pense n'accéder qu'à des services ponctuels de la société, n'a pas conscience du caractère massif et transversal du traitement de ses données. Les finalités précitées traduisent la volonté de la société de traiter l'utilisateur de façon globale, pour le présent et pour l'avenir, et à travers tous ses services. Ce modèle économique doit nécessairement s'accompagner d'une information adéquate et précise afin de permettre à l'utilisateur d'appréhender, sans ambiguïté, l'usage qui sera fait de ses données.
D'autre part, l'information à destination des utilisateurs, quel que soit leur statut, est dispersée au sein de plusieurs supports. Cette information éparse contraint les utilisateurs à prendre connaissance de chacun d'eux afin d'obtenir une information pertinente et complète. Le manque d'unicité de cette information nuit, ainsi, à sa lisibilité, contrairement à l'objectif initialement poursuivi par la refonte des politiques de confidentialité. Au surplus, il n'est pas nécessairement clair pour les utilisateurs que des outils tels que la foire aux questions ou le centre d'aide comporteront des renseignements relatifs à la protection de leurs données. En effet, de telles dénominations ne sont pas propres à la confidentialité des données et renvoient d'ordinaire à des problématiques techniques liées au fonctionnement d'un service.
Les faits précités constituent, par conséquent, un manquement au I de l'article 32 précité.
Sur l'obligation de définir une durée de conservation des données
Aux termes du 5° de l'article 6 de la loi n° 78-17 du 6 janvier 1978 modifiée, "les données à caractère personnel sont conservées sous une forme permettant l'identification des personnes concernées pendant une durée qui n'excède pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées".
S'agissant des données collectées par la société dans le cadre des services, seules quelques rares durées de conservation ont été précisées par X dans ses réponses aux questionnaires du G29, telles que les durées suivantes :
- 9 mois avant anonymisation par effacement du dernier octet des adresses IP. Or, en la matière, le G29 recommande une durée de conservation de 6 mois maximum. En outre, le procédé d'anonymisation devra être irréversible et exclure toute possibilité d'identifier les individus de façon indirecte ;
- 2 ans pour la durée de validité des cookies enregistrés dans les navigateurs des utilisateurs. Or, lors de chaque connexion au service, ces cookies sont redéposés avec une prorogation de la durée de deux ans. Ainsi, la durée de validité du cookie est finalement illimitée et excessive en ce qu'elle prive l'utilisateur de la possibilité de réitérer son accord pour le dépôt du cookie ;
- 18 mois avant l'anonymisation du numéro de cookie dans les journaux des serveurs de la société (service moteur de recherche). Or, les durées de conservation préconisées par la CNIL varient entre 6 et 12 mois selon le type de cookie et sa finalité. Une durée de 18 mois est, donc, en tout état de cause, excessive.
En outre, après la résiliation d'un service, la suppression d'un compte X ou la suppression d'un contenu par un utilisateur, la société ne s'engage pas à supprimer de ses serveurs les données collectées dans un délai fixe. Ces données sont conservées sur des supports de sauvegarde sans que la société n'ait précisé de durée de conservation. L'absence de durée de conservation fixée excède, ainsi, ce qui est nécessaire aux finalités pour lesquelles les données sont collectées et traitées.
Les faits précités constituent, par conséquent, un manquement aux obligations découlant du 5° de l'article 6 susvisé dans la mesure où la société n'a fixé que de rares durées de conservation pour les données qu'elle traite, dont certaines sont au surplus excessives.
Sur l'obligation de disposer d'une base légale pour les traitements relatifs à la combinaison de données
Dans ses réponses, la société indique procéder potentiellement à la combinaison de l'intégralité des données collectées sur les utilisateurs de ses services.
Aux termes de l'article 7 de la loi n° 78-17 du 6 janvier 1978 modifiée : "un traitement de données à caractère personnel doit avoir reçu le consentement de la personne concernée ou satisfaire à l'une des conditions suivantes :
1° Le respect d'une obligation légale incombant au responsable du traitement ;
2° La sauvegarde de la vie de la personne concernée ;
3° L'exécution d'une mission de service public dont est investi le responsable ou le destinataire du traitement ;
4° L'exécution, soit d'un contrat auquel la personne concernée est partie, .soit de mesures précontractuelles prises à la demande de celle-ci ;
5° La réalisation de l'intérêt légitime poursuivi par le responsable du traitement ou par le destinataire, sous réserve de ne pas méconnaître l'intérêt ou les droits et libertés fondamentaux de la personne concernée".
Il résulte de ces dispositions qu'en l'absence de consentement des personnes concernées, un responsable de traitement ne peut légalement mettre en oeuvre un traitement de données à caractère personnel que si celui-ci est fondé sur l'une des conditions alternatives visées ci-dessus.
En l'espèce, faute de recueil du consentement de ses utilisateurs, quel que soit leur statut, préalablement à la combinaison de leurs données, la mise en oeuvre des différents traitements de données opérés par la société ne peut avoir pour base légale que l'une des conditions énumérées par les 1° à 5° de l'article précité.
Compte tenu de la nature des traitements en cause, les 1°, 2° et 3° de l'article 7 ne peuvent constituer la base légale de la combinaison illimitée des données par X.
Le traitement issu de la combinaison de données entre ses services ne peut donc être examiné qu'au regard du 4° et du 5° de l'article 7.
La société fait valoir, à cet égard, que l'ensemble des services qu'elle propose constitue en fait un service unique. La combinaison potentiellement illimitée de données pourrait, dès lors, entrer dans le champ d'application du 4° de l'article 7 au titre d'une relation contractuelle globale.
Toutefois, il n'existe pas de cadre contractuel global gouvernant la combinaison de données effectuée entre tous les services de X, ni même de cadre établissant un lien clair entre l'ensemble de ces services pour l'utilisateur. Si certaines prestations, à l'instar de [...], sont encadrées par des conditions d'utilisation et règles de confidentialité propres, celles-ci sont, d'une part ponctuelles car spécifiques à ces services, et, d'autre part, insuffisantes pour instaurer stricto sensu une relation contractuelle globale avec l'utilisateur.
En conséquence, la société ne peut fonder la combinaison potentiellement illimitée de données entre tous ses services sur l'exécution, par définition limitée, de conditions d'utilisation et règles de confidentialité spécifiques à certains d'entre eux, de sorte que le 4° de l'article 7 précité ne peut trouver à s'appliquer en l'espèce.
En ce qui concerne le 5° de l'article 7, l'intérêt légitime du responsable de traitement doit être apprécié d'une part, en tant que tel, et d'autre part, au regard de l'intérêt de la personne concernée et de ses droits et libertés fondamentaux, auquel l'intérêt légitime du responsable de traitement ne saurait porter atteinte.
Sur le premier point, pour apprécier la légitimité de l'intérêt du responsable de traitement, il convient notamment de tenir compte de la proportionnalité du traitement de données au regard de ses finalités.
En l'espèce, la société a fait valoir, pour justifier d'une combinaison des données de la soixantaine de services concernés, qu'elle souhaitait constituer un service unifié , et que la combinaison de données était ainsi potentiellement illimitée dans la mesure où elle envisageait de développer de nouveaux services pour les utilisateurs, sans qu'il soit possible à ce stade de déterminer les données qui seront nécessaires à leur mise en oeuvre. Elle considère ainsi que la combinaison illimitée de données est justifiée par la finalité de potentielles nouvelles utilisations.
Sur le second point, force est de constater qu'une telle combinaison de données est, par sa nature même, son ampleur et son caractère massif, susceptible de méconnaître l'intérêt des utilisateurs et leur droit fondamental au respect de leur vie privée.
Dès lors, l'intérêt économique et commercial de la société ne peut être regardé comme légitime que si le responsable de traitement met à disposition des utilisateurs de ses services, des moyens adéquats leur permettant de contrôler la combinaison de leurs données et d'exercer effectivement les droits qui leur sont reconnus par les articles 32 et 38 de la loi n° 78-17 du 6 janvier 1978 modifiée.
En l'état, X n'offre pas de tels outils permettant à l'utilisateur de faire obstacle à la combinaison illimitée de ses données personnelles, et, par suite, d'opposer son intérêt privé ou le respect de ses droits et libertés à l'intérêt du responsable de traitement. En effet, ainsi qu'il a été démontré, l'information portant sur les finalités pour lesquelles les données sont combinées est insuffisamment explicite et il n'existe pas de possibilité de s'opposer à la combinaison des données entre services. En outre, les données sont conservées, pour la plupart, pour une durée illimitée. Dans ces conditions, la combinaison de données potentiellement illimitée par X ne peut être regardée comme répondant à l'intérêt légitime de la société.
Il résulte de ce qui précède que la combinaison potentielle de toutes les données d'un utilisateur de différents services proposés par la société est dépourvue de base légale, faute, soit de faire l'objet d'un encadrement contractuel adéquat, soit de respecter, dans la recherche de son intérêt légitime en tant que responsable de traitement, l'intérêt et les droits et libertés des personnes concernées, en mettant à leur disposition des moyens leur permettant de maîtriser la combinaison des données les concernant et d'exercer leurs droits de manière effective.
Les faits précités constituent, par conséquent, un manquement à l'article 7 susvisé.
Sur l'obligation de procéder à une collecte et à un traitement loyal des données
Aux termes du 1° de l'article 6 de la loi n° 78-17 du 6 janvier 1978 modifiée, "les données à caractère personnel sont collectées et traitées de manière loyale et licite".
Tel que rappelé précédemment, la société traite les données des utilisateurs passifs se rendant sur des sites Internet tiers. Leurs données sont collectées d'une part, via les cookies [...] qui sont déposés sur ces sites, d'autre part, via les boutons "+1" ou tout autre service X présents sur la page visitée (ex : carte issue de [...]), quand bien même l'utilisateur ne cliquerait pas dessus. La seule présence de ce bouton ou de ce service sur une page Internet permet à la société de collecter des informations sur la personne telles que, notamment, son adresse IP et le site Internet visité.
Or, les utilisateurs qui se rendent sur ces sites n'ont aucune information au sujet du traitement qui est réalisé par la société quant à leur navigation et quant à sa finalité. Ils n'en ont, d'ailleurs, aucune conscience puisque les sites qu'ils consultent n'appartiennent pas à l'environnement X.
Il s'agit, ainsi, d'un traitement de données à caractère personnel effectué à leur insu qui, au surplus, permet de révéler à la société des informations sur le comportement privé des personnes (sites Internet tiers visités).
Les faits précités constituent, par conséquent, un manquement aux obligations découlant du 1° de l'article 6 précité.
Sur l'obligation d'obtenir l'accord de la personne avant d'inscrire des informations dans son équipement terminal de communications électroniques ou d'accéder à celles-ci par voie de transmission électronique
Aux termes du II de l'article 32 de la loi n° 78-17 du 6 janvier 1978 modifiée : "Tout abonné ou utilisateur d'un service de communications électroniques doit être informé de manière claire et complète, sauf s'il l'a été au préalable, par le responsable du traitement ou son représentant :
- de la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans son équipement terminal de communications électroniques, ou à inscrire des informations dans cet équipement ;
- des moyens dont il dispose pour s'y opposer".
Ces accès ou inscriptions ne peuvent avoir lieu qu'à condition que l'abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son accord qui peut résulter de paramètres appropriés de son dispositif de connexion ou de tout autre dispositif placé sous son contrôle.
La société procède au dépôt et à la lecture de cookies dans l'équipement terminal de communications électroniques de l'utilisateur lorsque celui accède à un service de X en mode authentifié ou non authentifié (notamment cookies [...]), ou lorsque celui-ci accède, quel que soit son statut, à un site tiers utilisant les services d'analyse de fréquentation et les services publicitaires de X (notamment cookies [...] et ceux relevant du nom de domaine [...]).
En outre, lorsqu'un utilisateur se rend sur un site Internet tiers utilisant un service X (par exemple, l'affichage d'une carte issue de [...]) ou affichant un bouton "+1", la société en est informée via, notamment, les cookies [...].
Il ressort des dispositions précitées que, préalablement aux dépôts et à la lecture de ces cookies, l'utilisateur doit recevoir une information claire et complète sur leurs finalités et sur les moyens dont il dispose pour s'y opposer.
1) Sur l'information relative aux, finalités des cookies
L'information délivrée aux utilisateurs des services de X, s'agissant de ces cookies, figure dans la politique de confidentialité de la société, laquelle précise : "Lorsque vous accédez à un service de X, nous utilisons différentes technologies pour collecter et stocker des données par exemple en envoyant un ou plusieurs cookies ou identifiants anonymes sur votre appareil. (...) Nous utilisons les données fournies par les cookies (...) pour vous offrir un meilleur confort d'utilisation et améliorer la qualité globale de nos services (...). Nous utilisons les données fournies par les cookies et par les autres dispositifs similaires, comme les balises pixel, pour vous offrir un meilleur confort d'utilisation et améliorer la qualité globale de nos services. L'enregistrement de vos préférences linguistiques nous permet, par exemple, d'afficher nos services dans la langue que vous utilisez le plus souvent. Lorsque nous vous proposons des annonces personnalisées, nous n'associons aucun cookie ni identifiant anonyme à des données sensibles, comme la race, la religion, l'orientation sexuelle ou l'état de santé".
Cette information ne remplit pas les impératifs de clarté et de complétude exigés par l'article précité. Elle est difficilement accessible et impose à l'ensemble des utilisateurs, dont les utilisateurs passifs qui n'utilisent pas de services de X, de se rendre d'eux-mêmes sur les pages dédiées aux règles de confidentialité, sans qu'aucune incitation ne soit prévue sur les pages d'accueil des services ou des sites Internet tiers concernés. Plus encore, les mentions d'information ne précisent pas l'intégralité des finalités poursuivies par la société et se bornent à renseigner "l'objectif de confort d'utilisation et d'amélioration de la qualité globale de nos services". Pour exemple, la finalité liée aux mesures d'audience n'est pas indiquée.
En complément de l'information précitée se trouvant dans les règles de confidentialité, il existe une information supplémentaire en page d'accueil de certains services depuis avril 2013 (ex : [...]).
Cette mention, consistant en une bannière d'information, précise : "Les cookies contribuent aux services que nous vous proposons. En utilisant nos services, vous acceptez l'usage que nous faisons des cookies. OK En savoir plus. Le lien en savoir plus renvoie à une page d'information spécifique quant au fonctionnement des cookies et à leurs finalités".
Toutefois, même si l'information est renforcée par cette mention en page d'accueil de certains services, elle se contente d'indiquer une finalité particulièrement évasive s'agissant de la contribution aux services proposés.
2) Sur l'information relative aux moyens de s'opposer aux cookies
La société permet à ses utilisateurs, indirectement depuis les règles de confidentialité, et depuis la page à laquelle renvoie le lien précité en savoir plus de certains services, de s'opposer à la réception de publicité ciblée ("Gestionnaire de préférences pour les annonces").
Ainsi qu'il a été précédemment rappelé, ce gestionnaire permet de désactiver les publicités affichées sur les services X concernés ([...]) et sur les sites Internet tiers.
De plus, la société permet à ses utilisateurs de s'opposer au dépôt des cookies [...], via des modules spécifiques à télécharger (module complémentaire de navigateur pour la désactivation de [...] et plug-in de désactivation du cookie publicitaire [...]), qui ne sont toutefois pas accessibles sur tous les terminaux, tels que les plateformes mobiles.
Pour autant, il n'existe pas de possibilité pour l'utilisateur, quel que soit son statut, de s'opposer au dépôt de chacun des cookies suivants : [...], étant précisé que ce dernier peut être déposé lorsqu'un utilisateur visite une page Internet contenant un bouton "+1".
Plus encore, les pages "Gestionnaire de préférences pour les annonces" et celles permettant de s'opposer aux cookies [...] ne sont pas facilement accessibles, notamment pour les utilisateurs passifs, exigeant plusieurs renvois depuis les pages principales des règles de confidentialité ou encore une recherche ad hoc sur Internet.
3) Sur l'absence d'accord préalable de l'utilisateur au dépôt et/ou à la lecture de cookies
En l'espèce, l'information sur les finalités poursuivies par les cookies et sur les moyens de s'y opposer est lacunaire. De plus, la société procède aux dépôts des cookies susvisés dès lors que l'internaute se connecte à l'un de ses services ou aux sites Internet tiers utilisant les services publicitaires et de mesures d'audience.
Ainsi, l'utilisateur n'est pas en mesure d'exprimer valablement son accord.
Les faits précités constituent, par conséquent, un manquement au II de l'article 32 de la loi n° 78-17 du 6 janvier 1978 modifiée, qui soumet notamment à l'information et à l'accord préalable de l'internaute, le dépôt et la lecture de cookies.
En conséquence, la société X, sise [...] est mise en demeure pour l'ensemble des traitements couverts par ses règles de confidentialité, sous un délai de trois mois à compter de la notification de la présente décision et sous réserve des mesures qu'elle aurait déjà pu adopter à la suite des échanges intervenus dans le cadre de la procédure, de :
- Définir des finalités déterminées et explicites afin de permettre aux utilisateurs, quel que soit leur statut, d'appréhender concrètement les traitements portant sur leurs données à caractère personnel ;
- Procéder à l'information des utilisateurs, quel que soit leur statut, en application des dispositions de l'article 32 précité, en particulier s'agissant des finalités poursuivies par le responsable des traitements mis en oeuvre ;
- Définir une durée de conservation des données à caractère personnel traitées qui
n'excède pas la durée nécessaire aux finalités pour lesquelles elles sont collectées ;
- Ne pas procéder, sans base légale, à la combinaison potentiellement illimitée des données des utilisateurs, quel que soit leur statut ;
- Procéder à une collecte et à un traitement loyal des données des utilisateurs passifs, en particulier s'agissant des données collectées via les cookies [...], les boutons +1 ou tout autre service X présents sur la page visitée ;
- Informer les utilisateurs, quel que soit leur statut, puis obtenir leur accord préalable avant d'inscrire des informations dans leur équipement terminal de communications électroniques ou d'accéder à celles-ci par voie de transmission électronique.
À l'issue de ce délai, si la société X s'est conformée à la présente mise en demeure, il sera considéré que la procédure est close et un courrier lui sera adressé en ce sens.
À l'inverse, si la société X ne s'est pas conformée à la présente mise en demeure pour l'ensemble des traitements couverts par ses règles de confidentialité, un rapporteur pourra être désigné et demander à la formation restreinte de la Commission de prononcer l'une des sanctions prévues par l'article 45 de la loi du 6 janvier 1978 modifiée.
La Présidente,
Isabelle FALQUE-PIERROTIN

CNIL/CNILTEXT000033606113.xml