Délibération de la formation restreinte n°SAN-2022-023 du 19 décembre 2022 concernant la société X

La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de Monsieur Alexandre LINDEN, président, Monsieur Philippe-Pierre CABOURDIN, vice-président, Madame Christine MAUGÜÉ, Monsieur Alain DRU et Monsieur Bertrand du MARAIS, membres ; Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ; Vu la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ; Vu le décret no 2019-536 du 29 mai 2019 pris pour l’application de la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ; Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ; Vu la décision n° 2020-128C du 8 septembre 2020 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification de tout traitement accessible à partir du domaine […] ou portant sur des données à caractère personnel collectées à partir de ce dernier, auprès de tout organisme susceptible d’être concerné par leur mise en œuvre ; Vu la décision n° 2020-253C du 8 septembre 2020 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements mis en œuvre par la société […] ou pour son compte, en tout lieu susceptible d’être concerné par leur mise en œuvre ; Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte, en date du 23 décembre 2021 ; Vu le rapport de Monsieur François PELLEGRINI, commissaire rapporteur, notifié à la société […] le 13 juillet 2022 ; Vu les observations écrites versées par la société […] le 9 septembre 2022 ; Vu la réponse du rapporteur à ces observations notifiée le 10 octobre 2022 au conseil de la société ; Vu les observations écrites de la société […] reçues le 15 novembre 2022 ; Vu les autres pièces du dossier ; Étaient présents, lors de la séance de la formation restreinte du 1er décembre 2022 : - Monsieur François PELLEGRINI, commissaire, entendu en son rapport ; En qualité de représentants de la société […]: - […] ; La société […] ayant eu la parole en dernier ; La formation restreinte a adopté la décision suivante : I. Faits et procédure 1. La société […], société multinationale créée en 1976 dont le siège social est situé aux États-Unis, a pour activité principale le développement et la vente de systèmes d’exploitation, de logiciels applicatifs, de matériels et de services dérivés. Elle a également une activité de conseil et de support pour l’ensemble des produits […]. Son chiffre d’affaires s’élevait à 143 milliards de dollars en 2020 et à 168 milliards de dollars en 2021. Elle employait en 2020 près de 148 000 personnes dans 120 pays. 2. La société […] (ci-après " […] "), est une filiale de la société […] dont le siège social est situé […] à Dublin. Son activité principale est le marketing et la vente de logiciels pour la région Europe et Asie-Pacifique. Son chiffre d’affaires s’élevait, en 2020, à […] pour un bénéfice annuel de […] et à […] pour un bénéfice annuel de […] en 2021. 3. La société […] exploite et développe le moteur de recherche […] dans l’Espace économique européen. Le domaine […] accessible depuis la France comptait 10 801 000 utilisateurs uniques résidant en France en septembre 2020 et le chiffre d’affaires attribuable au domaine […] en France s’est élevé à […] en 2020 et à […] en 2021. 4. La société […], filiale de la société […] et société sœur de la société […], est une société par actions simplifiée, immatriculée au registre du commerce et des sociétés de Nanterre sous le numéro […], dont le siège social est situé […]. Elle est spécialisée dans la distribution, la promotion et la vente de produits et services informatiques. En 2020, elle a réalisé un chiffre d’affaires de 2,2 milliards d’euros, pour un résultat net de 77,9 millions d’euros et, en 2021, de 2,6 milliards d’euros pour un résultat net de 92,4 millions d’euros. 5. À la suite d’une saisine enregistrée le 21 février 2020 dans laquelle le plaignant dénonçait les conditions de recueil de son consentement au dépôt de traceurs (" cookies ") à partir du domaine […], une délégation de la Commission nationale de l’informatique et des libertés (ci-après " la CNIL " ou " la Commission ") a effectué un contrôle en ligne sur le site web […], le 29 septembre 2020, en application des décisions n° 2020-128C et 2020-253C du 8 septembre 2020 de la présidente de la CNIL. L’objet de ce contrôle était de vérifier la conformité de tout traitement accessible à partir du domaine […] depuis un terminal situé en France à la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après " la loi Informatique et Libertés ") et au règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (ci-après " le RGPD " ou " le Règlement "). 6. Le procès-verbal de constatations en ligne n° 2020-128-1, dressé à l’issue du contrôle et notifié aux sociétés […], […] et […] le 15 octobre 2020, invitait les sociétés à répondre à plusieurs questions portant notamment sur l’identification de l’entité qui détermine les finalités et les modalités de mise en œuvre des traitements de données à caractère personnel relatifs à la publicité ciblée sur les différents domaines visités lors du contrôle et accessibles à partir du domaine […], ainsi que la finalité de chacun des cookies mentionnés dans le procès-verbal. 7. Le 13 novembre 2020, la société […] a transmis des éléments de réponse à la CNIL. 8. Le 4 février 2021, la société […] a été auditionnée et a fourni des réponses aux questions posées par la délégation, relatives notamment aux relations entre les sociétés […], […] et […], à l’organisation de la protection des données à caractère personnel au sein de […] et à la responsabilité des traitements de publicité ciblée liés au moteur de recherche […]. Le 16 février 2021, la société […] a transmis des éléments de réponse complémentaires. 9. Le 11 mai 2021, un deuxième contrôle en ligne a été effectué par une délégation de la CNIL. Lors de ce contrôle, la délégation a suivi le parcours suivant afin d’identifier si des cookies sont déposés sur l’équipement de l’utilisateur : - la délégation s’est rendue sur le domaine […] ; - puis, sans cliquer sur aucun des boutons ou liens qui s’affichent sur le bandeau de gestion des cookies (intitulés " Accepter " ou " Plus d’options " ou " Déclaration de confidentialité "), elle a poursuivi sa navigation sur le moteur de recherche avant d’être bloquée par une fenêtre surgissante ; - enfin, la délégation a cliqué sur les liens " Déclaration de confidentialité " et " Plus d’options " situés sur la fenêtre surgissante. À partir du lien " plus d’options ", la délégation a autorisé le dépôt de cookies sur son terminal en cliquant sur le bouton " Autoriser tout ". 10. La délégation de contrôle a demandé aux sociétés […], […] et […], dans le cadre du procès-verbal de constatations en ligne dressé à l’issue du contrôle, des précisions complémentaires sur les finalités de chacun des cookies mentionnés dans ledit procès-verbal et des explications quant au déclenchement de la finalité publicitaire du cookie […]. 11. Les 12 juillet et 31 août 2021, sur la base d’informations fournies par la société […], la société […] a communiqué des éléments de réponse complémentaires aux demandes formulées par la délégation. 12. Aux fins d’instruction de ces éléments, la présidente de la Commission a, le 23 décembre 2021, désigné Monsieur François PELLEGRINI en qualité de rapporteur sur le fondement de l’article 39 du décret n° 2019-536 du 29 mai 2019. 13. Le 30 mars 2022, le conseil de la société […] a communiqué à la CNIL un procès-verbal d’huissier du 29 mars 2022 constatant la mise à jour du bandeau relatif aux cookies. 14. Le 13 juillet 2022, le rapporteur a fait notifier à la société […] un rapport détaillant le manquement à l’article 82 de la loi Informatique et Libertés qu’il estimait constitué en l’espèce. Ce rapport proposait à la formation restreinte de prononcer une amende administrative à l’encontre de la société, ainsi qu’une injonction, assortie d’une astreinte, de cesser de déposer le cookie […] soumis au recueil du consentement des personnes résidant en France lors de l’arrivée sur le site web […], avant même qu’elles n’aient eu la possibilité d’effectuer un choix quant aux opérations d’accès ou d’inscription d’informations dans leur terminal. Il proposait également que la décision de sanction soit rendue publique, mais qu’il ne soit plus possible d’identifier nommément la société à l’expiration d’un délai de deux ans à compter de sa publication 15. Le 9 septembre 2022, la société a produit ses observations en réponse au rapport de sanction. 16. Le 22 septembre 2022, le conseil de la société […] a adressé un courrier à la CNIL, démontrant la mise à jour du centre de gestion des préférences du bandeau cookie du site web […]. 17. Le rapporteur a répondu aux observations de la société le 10 octobre 2022. 18. Le 15 novembre 2022, la société a produit de nouvelles observations en réponse à celles du rapporteur. 19. Par courrier du 16 novembre 2022, le rapporteur a informé le conseil de la société que l’instruction était close, en application de l’article 40, III, du décret modifié n°2019-536 du 29 mai 2019. 20. Par courrier du 16 novembre 2022, la société a été informée que le dossier était inscrit à l’ordre du jour de la formation restreinte du 1er décembre 2022. 21. Le rapporteur et la société ont présenté des observations orales lors de la séance de la formation restreinte. II. Motifs de la décision A. Sur les traitements en cause et la compétence de la CNIL 1. Sur la compétence matérielle de la CNIL et la non-application du mécanisme de " guichet unique " prévu par le RGPD 22. Les traitements objets de la présente procédure, relatifs au dépôt de cookies et traceurs sur le terminal des utilisateurs résidant en France lors de l’utilisation du moteur de recherche […], sont effectués dans le cadre de la fourniture de services de communications électroniques accessibles au public par le biais d’un réseau public de communications électroniques proposés au sein de l’Union européenne. À ce titre, ils entrent dans le champ d’application matériel de la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques, telle que modifiée par la directive 2006/24/CE du 15 mars 2006 et par la directive 2009/136/CE du 25 novembre 2009 (ci-après la directive " ePrivacy "). 23. L’article 5, paragraphe 3, de cette directive, relatif au stockage ou à l’accès à des informations déjà stockées dans l’équipement terminal d’un abonné ou d’un utilisateur, a été transposé en droit interne à l’article 82 de la loi Informatique et Libertés, au sein du chapitre IV de la loi relatif aux Droits et obligations propres aux traitements dans le secteur des communications électroniques. 24. Aux termes de l’article 16 de la loi Informatique et Libertés, " la formation restreinte prend les mesures et prononce les sanctions à l'encontre des responsables de traitements ou des sous-traitants qui ne respectent pas les obligations découlant […] de la présente loi ". Au titre de l’article 20, paragraphe III, de cette même loi, " lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant […] de la présente loi, le président de la Commission nationale de l'informatique et des libertés […] peut saisir la formation restreinte ". 25. Le rapporteur considère que la CNIL est matériellement compétente pour contrôler et sanctionner les opérations d’accès ou d’inscription d’informations mises en œuvre par la société dans les terminaux des utilisateurs du domaine […] résidant en France. 26. En défense, la société n’a pas fait d’observations sur la compétence de la CNIL 27. La formation restreinte rappelle que le Conseil d’État a, dans sa décision Société GOOGLE LLC et société GOOGLE IRELAND LIMITED du 28 janvier 2022, confirmé que le contrôle des opérations d’accès ou d’inscription d’informations dans les terminaux des utilisateurs en France d’un service de communications électroniques, même procédant d’un traitement transfrontalier, relève de la compétence de la CNIL et que le système du guichet unique prévu par le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (ci-après " le RGPD ") n’est pas applicable : " il n’a pas été prévu l’application du mécanisme dit du " guichet unique " applicable aux traitements transfrontaliers, défini à l’article 56 de ce règlement, pour les mesures de mise en œuvre et de contrôle de la directive 2002/58/CE du 12 juillet 2002, qui relèvent de la compétence des autorités nationales de contrôle en vertu de l’article 15 bis de cette directive. Il s’ensuit que, pour ce qui concerne le contrôle des opérations d’accès et d’inscription d’informations dans les terminaux des utilisateurs en France d’un service de communications électroniques, même procédant d’un traitement transfrontalier, les mesures de contrôle de l’application des dispositions ayant transposé les objectifs de la directive 2002/58/CE relèvent de la compétence conférée à la CNIL par la loi du 6 janvier 1978 […] " (CE, 10ème et 9ème chambres réunies, 28 janvier 2022, société GOOGLE LLC et société GOOGLE IRELAND LIMITED, n° 449209, pt. 12). Le Conseil d’État a très récemment réaffirmé cette position dans un arrêt du 27 juin 2022 (CE, 10ème et 9ème chambres réunies, 27 juin 2022, société AMAZON EUROPE CORE, n° 451423). 28. Dès lors, la formation restreinte considère que la CNIL est compétente pour engager une procédure de sanction concernant les traitements mis en œuvre par la société relevant du champ d’application de la directive " ePrivacy ", sous réserve que le traitement se rattache à sa compétence territoriale. 2. Sur la compétence territoriale de la CNIL 29. La règle d’application territoriale des exigences fixées à l’article 82 de la loi Informatique et Libertés est précisée à l’article 3, paragraphe I, de la même loi qui dispose : " sans préjudice, en ce qui concerne les traitements entrant dans le champ du règlement (UE) 2016/679 du 27 avril 2016, des critères prévus par l'article 3 de ce règlement, l'ensemble des dispositions de la présente loi s'appliquent aux traitements des données à caractère personnel effectués dans le cadre des activités d'un établissement d'un responsable du traitement […] sur le territoire français, que le traitement ait lieu ou non en France ". 30. Le rapporteur considère que la CNIL est territorialement compétente en application de ces dispositions dès lors que le traitement, objet de la présente procédure, consistant en des opérations d’accès ou d’inscription d’informations dans le terminal des utilisateurs résidant en France, lors de la navigation sur le site web […], est effectué dans le " cadre des activités " de la société […], qui constitue " l’établissement " sur le territoire français de la société […]. 31. En défense, la société n’a pas fait d’observations sur ce point. 32. En premier lieu, s’agissant de l’existence d’un établissement du responsable de traitement sur le territoire français, la formation restreinte rappelle que la Cour de justice de l’Union européenne (ci-après la " CJUE ") a considéré de façon constante que la notion d’établissement devait être appréciée de façon souple et qu’à cette fin, il convenait d’évaluer tant le degré de stabilité de l’installation que la réalité de l’exercice des activités dans un autre État membre, en tenant compte de la nature spécifique des activités économiques et des prestations de services en question (voir, par exemple, CJUE, Weltimmo, 1er oct. 2015, C 230/14, pts. 30 et 31). La CJUE estime en outre qu’une société, personne morale autonome, du même groupe que le responsable de traitement, peut constituer un établissement du responsable de traitement au sens de ces dispositions (CJUE, 13 mai 2014, Google Spain, C-131/12, pt 48). 33. En l’occurrence, la formation restreinte relève, tout d’abord, que la société […], est le siège de la filiale française de la société […]. Elle note l’existence d’un programme intitulé " Resident Guest Employee ", permettant qu’une personne travaillant dans une autre entité que […] soit contractuellement employée par l’entité locale mais dépende, hiérarchiquement et dans les tâches qu’elle effectue, d’une autre entité du groupe […]. La société […] a précisé qu’en l’espèce, plusieurs personnes de l’équipe en charge de la gestion de la publicité du moteur de recherche […], à savoir l’équipe […] qui dépend de la société […], sont des salariés de la société […] et s’occupent du marché français. 34. En second lieu, s’agissant de l’existence d’un traitement effectué " dans le cadre des activités " de cet établissement, la formation restreinte relève que, dans sa décision AMAZON EUROPE CORE du 27 juin 2022, le Conseil d’État a rappelé qu’" il résulte de la jurisprudence de la Cour de justice de l’Union européenne, notamment de son arrêt du 5 juin 2018, Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein contre Wirtschaftsakademie Schleswig-Holstein GmbH (C-210/16), qu’au vu de l’objectif poursuivi par cette directive [la directive " e-Privacy "], consistant à assurer une protection efficace et complète des libertés et des droits fondamentaux des personnes physiques, notamment du droit à la protection de la vie privée et à la protection des données à caractère personnel, un traitement de données à caractère personnel peut être regardé comme effectué " dans le cadre des activités " d’un établissement national non seulement si cet établissement intervient lui-même dans la mise en œuvre de ce traitement, mais aussi dans le cas où ce dernier se borne à assurer, sur le territoire d’un État membre, la promotion et la vente d’espaces publicitaires permettant de rentabiliser les services offerts par le responsable d’un traitement consistant à collecter des données à caractère personnel par le biais de traceurs de connexion installés sur les terminaux des visiteurs d’un site " (CE, 10ème et 9ème chambres réunies, 27 juin 2022, société AMAZON EUROPE CORE, n° 451423, pt. 10). Le Conseil d’État a considéré dans cette même décision que tel était le cas lorsque les activités de l’établissement du responsable de traitement consistent en la promotion et la commercialisation d’outils publicitaires contrôlés et exploités par le responsable de traitement fonctionnant notamment grâce aux données collectées par le biais des traceurs de connexion déposés sur les terminaux des utilisateurs du site exploité par le responsable de traitement (pt. 15 de la décision précitée). 35. En l’espèce, la formation restreinte note que les opérations d’accès ou d’inscription d’informations dans le terminal des utilisateurs situés en France, lors de l’utilisation du moteur de recherche […], sont intrinsèquement liées aux activités de la société […]. En effet, la société […] exploite et développe dans l’Espace économique européen (EEE) le moteur de recherche […], sur lequel des espaces publicitaires sont achetés par des annonceurs, la promotion de ces outils publicitaires étant assurés, pour le marché français, par une partie de l’équipe […]. 36. Ainsi, le traitement consistant en des opérations d’accès ou d’inscription d’informations dans le terminal des utilisateurs résidant en France, lors de l’utilisation du moteur de recherche […], est bien effectué " dans le cadre des activités " de la société […]. La formation restreinte relève que les deux critères prévus à l’article 3, paragraphe I, de la loi Informatique et Libertés sont donc réunis. 37. Il en résulte que le droit français est applicable et que la CNIL est matériellement et territorialement compétente pour exercer ses pouvoirs, parmi lesquels celui de prendre des sanctions concernant les traitements relevant du champ d’application de la directive " ePrivacy ". B. Sur la détermination du responsable de traitement 38. La formation restreinte relève, tout d’abord, que l’article 4, paragraphe 7, du RGPD est applicable à la présente procédure en raison du recours à la notion de " responsable de traitement " dans l’article 82 de la loi Informatique et Libertés, lequel est justifié par le renvoi opéré par l’article 2 de la directive " ePrivacy " à la directive 95/46/CE sur la protection des données personnelles à laquelle s’est substitué le RGPD. 39. Aux termes de l’article 4, paragraphe 7, du RGPD, le responsable de traitement est " la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement ". 40. Le rapporteur considère que la société […] agit en qualité de responsable du traitement en cause, en ce qu’elle détermine les finalités et les moyens du traitement consistant en des opérations d’accès ou d’inscriptions d’informations dans le terminal des utilisateurs résidant en France lors de l’utilisation du moteur de recherche […]. 41. La société n’a pas fait valoir d’observations sur ce point. 42. La formation restreinte souligne que, dans son courrier du 13 novembre 2020, la société […], qui communique " sur la base des informations qui [lui] ont été communiquées par […]", faisait état du rôle de […] en tant que responsable du traitement des données effectué à partir du domaine […] pour les utilisateurs de l’EEE, du Royaume-Uni et de la Suisse et précisait que […] exerçait une influence décisive sur les finalités et les modalités de mise en œuvre des traitements et notamment les traitements relatifs à la publicité ciblée. La formation restreinte relève enfin que ces propos ont été confirmés par la société […] lors de l’audition du 4 février 2021. 43. Il résulte de ce qui précède que la société […] détermine les finalités et les moyens du traitement consistant en des opérations d’accès ou d’inscriptions d’informations dans le terminal des utilisateurs résidant en France, lors de l’utilisation du moteur de recherche […], et agit donc en qualité de responsable du traitement en cause. C. Sur le manquement aux obligations en matière de cookies 44. Aux termes de l’article 82 de la loi Informatique et Libertés, transposant l’article 5, paragraphe 3, de la directive " ePrivacy ", " tout abonné ou utilisateur d’un service de communications électroniques doit être informé de manière claire et complète, sauf s’il l’a été au préalable, par le responsable du traitement ou son représentant : 1° De la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans son équipement terminal de communications électroniques, ou à inscrire des informations dans cet équipement ; 2° Des moyens dont il dispose pour s’y opposer. Ces accès ou inscriptions ne peuvent avoir lieu qu’à condition que l'abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son consentement qui peut résulter de paramètres appropriés de son dispositif de connexion ou de tout autre dispositif placé sous son contrôle. Ces dispositions ne sont pas applicables si l’accès aux informations stockées dans l’équipement terminal de l’utilisateur ou l’inscription d’informations dans l’équipement terminal de l’utilisateur : 1° Soit, a pour finalité exclusive de permettre ou faciliter la communication par voie électronique ; 2° Soit, est strictement nécessaire à la fourniture d'un service de communication en ligne à la demande expresse de l’utilisateur ". 1. Sur l’obligation de recueillir le consentement de l’utilisateur au dépôt et à la lecture des cookies a. En ce qui concerne le dépôt d’un cookie sur le terminal de l’utilisateur avant toute action de sa part, sans recueil de son consentement 45. Dans son rapport, le rapporteur relève que les contrôles effectués ont permis de constater que dès l’arrivée sur le site […], avant toute action de la part de l’utilisateur, le cookie […] était déposé sur le terminal de l’utilisateur. D’après les informations communiquées par […] dans le cadre de la procédure de contrôle, il s’agit d’un cookie multi-finalités utilisé pour assurer la sécurité du service, pour mesurer l’utilisation du site web et pour la présentation de publicités. La société a indiqué qu’un mécanisme de recueil du consentement permettait de déclencher les finalités publicitaires de ce cookie. La société précisait néanmoins que lorsque la finalité publicitaire de ce cookie n’était pas activée, il était utilisé pour la détection et le filtrage des fraudes publicitaires concernant les publicités non ciblées. Le rapporteur relève que les cookies relatifs à la détection et au filtrage des fraudes publicitaires s’inscrivent dans la finalité plus large de la publicité contextuelle qui recouvre l’ensemble des techniques publicitaires consistant à proposer des contenus publicitaires en fonction du contexte dans lequel se trouve l’individu exposé au message. Il considère que ces cookies n’ont donc pas pour finalité exclusive de permettre ou faciliter la communication par voie électronique et ne peuvent pas non plus être regardés comme strictement nécessaires à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur. Le rapporteur considère ainsi que la société […] méconnaît les obligations de l’article 82 de la loi " Informatique et Libertés " en déposant ce cookie sans le consentement de l’utilisateur. 46. En défense, la société explique que le cookie […] est un cookie multi-finalités, utilisé à des fins essentielles et non essentielles pour éviter d’utiliser plusieurs cookies chacun pour une finalité, afin de réduire le nombre de lectures et écritures d’informations entre le terminal de l’utilisateur et […]. La société indique que seules les finalités essentielles sont activées avant que l’utilisateur donne son consentement. La société fait valoir qu’elle considère comme des finalités essentielles à la fonctionnalité de […]: les finalités de lutte contre la fraude, y compris la fraude publicitaire, de sécurité telles que la prévention des attaques par déni de service, de détection des logiciels malveillants et de lutte contre la désinformation. La société soutient que ces finalités indissociables sont strictement nécessaires à la fourniture des services […] tels que demandés par l’utilisateur. La société précise qu’en l’absence de consentement de l’utilisateur, la seule finalité publicitaire pour laquelle le cookie […] est utilisé est la publicité non ciblée dans le cadre de la lutte contre la fraude publicitaire. 47. Dans sa réponse, le rapporteur rappelle que, lorsque la finalité publicitaire du cookie […] n’était pas activée, ce cookie était néanmoins utilisé pour la détection et le filtrage des fraudes publicitaires concernant les publicités non ciblées. Il considère donc que le dépôt de ce cookie nécessite de recueillir au préalable le consentement de l’utilisateur pour cette finalité. En outre, le rapporteur précise, en réponse à l’argumentation de la société considérant la finalité de lutte contre la fraude au sens large comme une finalité essentielle exemptée de consentement, que seule la finalité de lutte contre les attaques en déni de service pourrait être exemptée de consentement. Le rapporteur relève que les autres finalités évoquées ne relèvent pas du champ des exemptions prévues par l’article 82 de la loi Informatique et Libertés puisqu’elles n’ont pas vocation à faciliter une communication électronique et ne sont pas strictement nécessaires à la fourniture d’un service expressément demandé par l’utilisateur. 48. La société, dans ses dernières observations, soutient que les finalités de détection des maliciels et de lutte contre la désinformation, et la fraude publicitaire sont strictement nécessaires à la fourniture du service […], service qui produit des résultats de recherche pertinents, fiables et sûrs. La société soutient que le terme service doit être interprété en référence aux attentes légitimes d’un utilisateur, ainsi qu’aux obligations légales du fournisseur, concernant l’intégrité, la qualité et la sécurité. Elle soutient qu’en tout état de cause, une fois que le cookie […] est placé sur le terminal de l’utilisateur pour une finalité essentielle, l’article 82 de la loi Informatique et Libertés ne s’applique pas aux utilisations ultérieures par la société des données à caractère personnel stockées dans le cookie. En ce sens, la société conclut que la lutte contre la désinformation, la fraude, les spams et les abus est compatible avec la prévention des attaques par déni de service, la cybercriminalité, l’équilibrage de la charge et la continuité de session à session au regard de l’article 6, paragraphe 4, du RGPD. La société soutient également que dans ce cas, la conformité aux exigences du RGPD serait alors supervisée par la Data Protection Commission, l’autorité de protection irlandaise, dans le cadre du guichet unique prévu par le RGPD, et non pas par la CNIL. 49. En premier lieu, s’agissant des cookies et autres traceurs multi-finalités, la formation restreinte rappelle que l’article 82 de la loi Informatique et Libertés exige un consentement aux opérations de lecture et d’écriture d’informations dans le terminal d’un utilisateur mais prévoit des cas spécifiques dans lesquels certains traceurs bénéficient d’une exemption au consentement : soit lorsque celui-ci a pour finalité exclusive de permettre ou faciliter la communication par voie électronique soit lorsqu’il est strictement nécessaire à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur. La formation restreinte relève à titre illustratif que la Commission précise, dans ses lignes directrices du 17 septembre 2020, que " l’utilisation d’un même traceur pour plusieurs finalités, dont certaines n’entrent pas dans le cadre de ces exemptions, nécessite de recueillir préalablement le consentement des personnes concernées, dans les conditions rappelées par les présentes lignes directrices. À titre d’exemple, dans le cas d’un service offert via une plate-forme nécessitant l’authentification des usagers (" univers logué "), l’éditeur du service pourra utiliser un cookie pour authentifier les utilisateurs sans demander leur consentement (car ce cookie est strictement nécessaire à la fourniture du service de communication en ligne). En revanche, il ne pourra utiliser ce même cookie pour des finalités publicitaires que si ces derniers ont effectivement consenti préalablement à cette finalité spécifique ". 50. La formation restreinte considère ainsi que, si un cookie multi-finalités peut être déposé sans consentement pour une finalité essentielle qui relève de l’une des deux exemptions prévues à l’article 82 de la loi Informatique et Libertés, la société ne pourra utiliser ce cookie pour des finalités non essentielles que si l’utilisateur a effectivement consenti à ces finalités spécifiques préalablement à son inscription dans son terminal, contrairement à ce que soutient la société. En effet, la formation restreinte relève que déposer un cookie multi-finalités sur le terminal de l’utilisateur pour des finalités essentielles exemptes du recueil du consentement au titre des exemptions prévues à l’article 82 de la loi Informatique et Libertés, puis faire relever du RGPD les traitements ultérieurs réalisés pour des finalités non essentielles dudit cookie, reviendrait à détourner les dispositions de la loi Informatique et Libertés puisque le consentement de l’utilisateur ne serait plus jamais sollicité préalablement au dépôt de cookies. S’agissant de l’indissociabilité des finalités invoquée par la société, la formation restreinte rappelle que le recours à un traceur multi-finalités est une souplesse laissée au responsable de traitement pour ne pas surcharger le terminal de l’utilisateur d’une multitude de traceurs correspondant chacun à une finalité particulière. 51. En second lieu, la formation restreinte considère qu’afin de déterminer si l’inscription d’un cookie multi-finalités, tel que le cookie […], sur le terminal des utilisateurs nécessite le recueil préalable de leur consentement, il convient de déterminer si parmi les finalités annoncées par la société, au moins l’une d’entre elles nécessite le recueil préalable du consentement. 52. En l’espèce, la formation restreinte note que le cookie […] a notamment pour finalité la lutte contre la fraude publicitaire, comprise comme l’ensemble des pratiques de tiers visant à manipuler la distribution et la mesure publicitaire opérée par la société […], que cette fraude soit opérée au détriment de la société […] ou de ses partenaires publicitaires. Elle considère que cette finalité s’inscrit dans celle plus large de la publicité contextuelle qui recouvre l’ensemble des techniques publicitaires consistant à proposer des contenus publicitaires en fonction du contexte dans lequel se trouve l’individu exposé au message. La formation restreinte estime que cette finalité concerne la diffusion publicitaire, au bénéfice de […] et de ses clients annonceurs, mais n’impacte pas la fourniture du service du moteur de recherche aux utilisateurs. Elle relève que la société opère une confusion entre la diffusion de contenus malveillants par les services de publicité du moteur de recherche, qui relève de la gestion interne de la société, et la détection de la fraude opérée par des bots, qui permet de lutter contre la création artificielle de clics sur des contenus publicitaires ou des liens d’affiliations afin d’éviter que des robots fassent augmenter artificiellement le nombre de vues d’une publicité, et qui est désignée comme étant la lutte contre la fraude publicitaire. 53. La formation restreinte considère que les cookies ayant cette finalité ne remplissent aucune des conditions prévues pour les deux exceptions précitées, dès lors notamment que la publicité n’est pas le service demandé par l’utilisateur, et nécessitent le consentement de l’utilisateur. La formation restreinte rappelle que cette position n’est pas nouvelle puisqu’elle est soutenue par la CNIL depuis le 18 mars 2021 dans la FAQ " Questions-réponses sur les lignes directrices modificatives et la recommandation " cookie et autres traceurs " publiée sur son site web. La formation restreinte rappelle que cet instrument de droit souple indique précisément que les cookies de lutte contre la fraude publicitaire n’ont pas vocation à faciliter une communication électronique et ne sont pas non plus strictement nécessaires à la fourniture d’un service expressément demandé par l’utilisateur. 54. Compte tenu de de ces éléments et sans qu’il soit besoin de se prononcer sur les autres finalités invoquées par la société, la formation restreinte considère que le dépôt et la lecture d’un cookie multi-finalités tel que le cookie […] sur le terminal de l’utilisateur, à tout le moins pour la finalité de lutte contre la fraude publicitaire telle que définie aux paragraphes 52 et 53, nécessitent que l’utilisateur donne son consentement préalable, dans les conditions prévues par l’article 82 de la loi Informatique et Libertés, telles qu’éclairées par l’article 4, paragraphe 11, du RGPD. 55. La formation restreinte considère ainsi qu’en permettant, au jour du contrôle en ligne du 11 mai 2021, le dépôt et la lecture de ce cookie sur le terminal de l’utilisateur lors de son arrivée sur le site […] sans recueillir préalablement son consentement, la société […] a méconnu les obligations de l’article 82 de la loi Informatique et Libertés. b. En ce qui concerne le dépôt d’un cookie sur le terminal de l’utilisateur après navigation sans recueil de son consentement 56. Le rapporteur relève que le contrôle en ligne du 11 mai 2021 a permis de constater que le cookie […] était déposé sur le terminal de l’utilisateur après la poursuite de la navigation, sans que le consentement de l’utilisateur ait été recueilli. D’après les informations communiquées par la société dans le cadre de la procédure de contrôle, le cookie […] a une finalité publicitaire. Le rapporteur a donc considéré que la société […] méconnaissait les obligations de l’article 82 de la loi " Informatique et Libertés " en déposant ce cookie, sans le consentement de l’utilisateur, alors que les cookies et autres traceurs à finalité publicitaire ne font pas partie des cookies exemptés de consentement au titre de l’article précité. Par ailleurs, le rapporteur a pris acte que, postérieurement au contrôle en ligne, la société a indiqué que ce cookie avait été ajouté par inadvertance et qu’elle rectifierait cette erreur avant le 30 juillet 2021 en ne le plaçant qu’après avoir obtenu le consentement des utilisateurs. 57. En défense, la société indique qu’elle avait mal catégorisé le cookie […] en raison d’une simple inadvertance humaine et que ce dernier n’a été placé que pendant une courte période puisque, depuis le 30 juillet 2021, ce cookie est désormais soumis au recueil du consentement des utilisateurs. La société invoque un " droit à l’erreur " et explique avoir agi de parfaite bonne foi puisqu’elle aurait elle-même indiqué son erreur à la CNIL en déclarant en toute transparence, par un courrier en date du 12 juillet 2021, que ce cookie avait été ajouté par inadvertance au site. 58. La formation restreinte relève que le courrier du 12 juillet 2021 par lequel la société a reconnu avoir mal catégorisé le cookie […] est une réponse à la question posée par la délégation de contrôle dans le cadre du procès-verbal dressé à l’issue du contrôle en ligne du 11 mai 2021, " Préciser les finalités des cookies dont le dépôt a pu être constaté dans le PV n° 2020-128/3 du 11 mai 2021 ". La formation restreinte considère que, si le dépôt du cookie […] sans recueillir le consentement de l’utilisateur n’était pas intentionnel, il résultait néanmoins d’une erreur grossière de la part de la société qui n’a pas contesté la finalité publicitaire dudit cookie. En outre, ce n’est qu’à la suite du contrôle diligenté par la Commission que […] a constaté son erreur et y a mis fin. 59. La formation restreinte considère qu’en permettant, au jour du contrôle en ligne du 11 mai 2021, le dépôt et la lecture du cookie […] sur le terminal de l’utilisateur après navigation sur le site […] sans recueillir préalablement son consentement, la société […] a méconnu les obligations de l’article 82 de la loi " Informatique et Libertés ", les cookies et autres traceurs à finalité publicitaire ne faisant pas partie des cookies exemptés de consentement au titre de l’article précité. 2. Sur les conditions du recueil du consentement 60. En droit, la directive " ePrivacy " prévoit en son article 2, f), que le consentement d’un utilisateur ou d’un abonné correspond au consentement de la personne concernée figurant dans la directive 95/46/CE, à laquelle s’est substitué le RGPD. 61. Ainsi, depuis l’entrée en application du RGPD, le " consentement " prévu à l’article 82 précité doit s’entendre au sens de l’article 4, paragraphe 11, du RGPD, c’est-à-dire qu’il doit être donné de manière libre, spécifique, éclairée et univoque et se manifester par un acte positif clair. 62. À cet égard, le considérant 42 de ce Règlement prévoit que " le consentement ne devrait pas être considéré comme ayant été donné librement si la personne concernée ne dispose pas d'une véritable liberté de choix ou n'est pas en mesure de refuser ou de retirer son consentement sans subir de préjudice ". 63. La CNIL considère qu’il résulte de ces dispositions combinées, ainsi qu’elle les a interprétées dans sa délibération n° 2020-091 du 17 septembre 2020 portant adoption de lignes directrices relatives à l’application de l’article 82 de la loi du 6 janvier 1978 modifiée aux opérations de lecture et/ou d’écriture dans le terminal d’un utilisateur (notamment aux " cookies et autres traceurs ") et n° 2020-092 portant adoption d’une recommandation proposant des modalités pratiques de mise en conformité en cas de recours aux " cookies et autres traceurs ", qu’il doit être aussi aisé de refuser ou retirer son consentement aux traceurs que de le donner. La formation restreinte rappelle que si ces instruments n’ont certes pas de caractère impératif, ils visent à interpréter les dispositions législatives applicables et à éclairer les acteurs sur la mise en place de mesures concrètes permettant de garantir le respect des dispositions légales, afin qu’ils mettent en œuvre ces mesures ou des mesures d’effet équivalent. En ce sens, il est précisé dans les lignes directrices que celles-ci " ont pour objet principal de rappeler et d’expliciter le droit applicable aux opérations de lecture et/ou d’écriture d’informations […] dans l’équipement terminal de communications électroniques de l’abonné ou de l’utilisateur, et notamment à l’usage des témoins de connexion ". Dès lors, la formation restreinte rappelle qu’elle retient un manquement aux obligations découlant de l’article 82 de la loi Informatique et Libertés et non du non-respect des recommandations qui constituent un éclairage pertinent pour éclairer les obligations prévues par les législateurs européen et français, en tirant notamment toutes les conséquences du principe de liberté du consentement tel que défini à l’article 4, paragraphe 11, du RGPD, et en les appliquant aux hypothèses de l’acceptation et du refus par l’utilisateur au dépôt de cookies sur son terminal. En effet, ce principe de liberté du consentement implique que l’utilisateur bénéficie d’une " véritable liberté de choix ", comme souligné au considérant 42 du RGPD, et donc que les modalités qui lui sont proposées pour manifester ce choix ne soient pas biaisées en faveur du consentement. 64. S’agissant des modalités de refus possibles, dans cette même recommandation, la Commission a préconisé " fortement que le mécanisme permettant d’exprimer un refus de consentir aux opérations de lecture et/ou d’écriture soit accessible sur le même écran et avec la même facilité que le mécanisme permettant d'exprimer un consentement. En effet, elle estime que les interfaces de recueil du consentement qui nécessitent un seul clic pour consentir au traçage tandis que plusieurs actions sont nécessaires pour " paramétrer " un refus de consentir présentent, dans la plupart des cas, le risque de biaiser le choix de l’utilisateur, qui souhaite pouvoir visualiser le site ou utiliser l’application rapidement. Par exemple, au stade du premier niveau d’information, les utilisateurs peuvent avoir le choix entre deux boutons présentés au même niveau et sur le même format, sur lesquels sont inscrits respectivement " tout accepter " et " tout refuser ", " autoriser " et " interdire ", ou " consentir " et " ne pas consentir ", ou toute autre formulation équivalente et suffisamment claire. La Commission considère que cette modalité constitue un moyen simple et clair pour permettre à l’utilisateur d’exprimer son refus aussi facilement que son consentement ". 65. Le rapporteur a relevé qu’au jour du contrôle en ligne du 11 mai 2021, si le bandeau affiché sur le site web […] contenait un bouton permettant d’accepter immédiatement les cookies, aucun moyen analogue n’était offert à l’utilisateur pour pouvoir refuser, facilement et en un seul clic, le dépôt de ces cookies. Il devait effectuer au moins deux actions (effectuer un premier clic sur " Plus d’options ", laisser les boutons glissants pré-cochés sur " Désactiver " par défaut, puis effectuer un clic sur " Enregistrer les paramètres ") pour refuser les cookies contre une seule action pour les accepter. Un tel mécanisme ne présentait donc pas, selon le rapporteur, la même facilité que celle permettant d’exprimer son consentement, en méconnaissance des exigences légales de liberté du consentement, qui impliquent de ne pas inciter l’internaute à accepter les cookies plutôt qu’à les refuser. Le rapporteur constate également qu’avant la modification des termes dans le centre de gestion des préférences effectuée le 22 septembre 2022, la présentation de la fenêtre permettant à l’utilisateur de refuser les cookies pouvait être ambigüe en raison de l’utilisation de l’infinitif – " Désactiver " – qui sous-entend en principe qu’une action doit être menée. Le rapporteur a donc considéré que les conditions de recueil du consentement mises en œuvre par la société […] sur le site web […] n’étaient pas conformes aux dispositions de l’article 82 de la loi Informatique et Libertés telles qu’éclairées par l’article 4, paragraphe 11, du RGPD sur la liberté du consentement, au moment du contrôle en ligne du 11 mai 2021 et jusqu’au 29 mars 2022, date à laquelle la société a mis en place un bouton " Tout refuser ". 66. En défense, la société fait valoir que ni la directive " ePrivacy ", ni sa transposition en droit français à l’article 82 de la loi " Informatique et Libertés ", ni le RGPD, ne prévoient la règle selon laquelle il doit être aussi facile de refuser les cookies que de les accepter. Elle avance que la recommandation de la CNIL du 17 septembre 2020 n’a pas valeur contraignante. La société considère à ce titre que la CNIL accepte la présentation d’un bouton moins aisément accessible ou moins visible pour refuser l’inscription des cookies. La société soutient que l’importance des délais de mise en œuvre, des tests et les conséquences techniques et commerciales sur l’activité de son moteur de recherche justifiaient qu’elle attende la décision finale du Conseil d’État pour éviter une énième modification de son bandeau cookies. 67. La société explique également, qu’avant la mise en place de ce bouton " Tout refuser ", elle se fondait sur un centre de gestion des préférences et un consentement explicite de ses utilisateurs pour l’utilisation de cookies non essentiels et qu’aucun cookie non essentiel n’était placé sur le terminal des utilisateurs avant qu’ils ne cliquent sur le bouton " Accepter ". Elle considère ainsi que l’utilisateur refusait de consentir aux cookies non essentiels lorsqu’il s’abstenait de cliquer sur le bouton " Accepter " et qu’il poursuivait sa navigation ou en cliquant sur " Enregistrer les paramètres " après s’être rendu sur le centre de gestion des préférences en cliquant sur " Plus d’options ", et qu’il était ainsi aussi facile de refuser que de consentir aux opérations de lecture et/ou d’écriture. […] considère donc que l’utilisateur pouvait accepter ou refuser le dépôt de cookies de manière très simple et à chaque fois selon deux modalités, lui assurant ainsi un choix libre. 68. En premier lieu, la formation restreinte relève que, si la société […] fait aujourd’hui valoir que l’absence de choix exprimé par l’utilisateur avait pour effet de n’inscrire aucun cookie non essentiel sur son terminal, le bandeau d’information affiché à l’utilisateur ne contenait aucune information en ce sens. 69. La formation restreinte considère, ainsi que la Commission l’a rappelé dans ses lignes directrices précitées, que si le refus de l’utilisateur de consentir aux cookies peut se déduire de son silence, c’est à la condition que l’utilisateur en soit pleinement informé. A défaut, l’équilibre entre les modalités d’acceptation et de refus n’est pas respecté. Or, tel n’était pas le cas en l’espèce : en visualisant le bandeau, l’utilisateur n’était pas informé des moyens dont il disposait pour ne pas consentir de manière simple aux cookies. 70. La formation restreinte estime au contraire qu’il n’était pas intuitif pour l’utilisateur de considérer qu’en continuant à naviguer sans effectuer d’action sur le bandeau cookies, aucun cookie ne serait déposé. Elle relève par ailleurs que, si une telle navigation sans action sur le bandeau était effectivement possible, ainsi que la délégation de contrôle l’a constaté lors du contrôle en ligne effectué le 11 mai 2021, un choix était imposé concernant le dépôt de cookie après trois recherches à partir du moteur de recherche, par le biais d’une fenêtre surgissante présentant un bouton " Accepter " et un bouton " Plus d’options ". Dès lors, le choix le plus simple pour un internaute était l’acceptation des cookies via le bouton " Accepter ". Ainsi, la formation restreinte considère qu’en l’absence d’information sur les conséquences de son inaction, l’utilisateur souhaitant refuser les cookies était fortement incité à cliquer sur le bouton " Plus d’options " puis à effectuer les deux actions décrites ci-avant. 71. De surcroît, la formation restreinte relève le caractère peu explicite du bouton " Plus d’options " proposé dans le cadre de la première fenêtre, qui ne mentionnait pas clairement l’existence de moyens permettant de refuser les cookies ainsi que l’ambiguïté de l’utilisation de l’infinitif " Désactiver " dans le cadre de la deuxième fenêtre, pouvant amener l’utilisateur à penser que les cookies étaient par défaut autorisés. Elle estime que le fait que les cookies n’étaient pas déposés est sans incidence sur la confusion générée par le parcours informationnel qui pouvait donner à l’utilisateur le sentiment qu’il n’était pas possible de refuser le dépôt de cookies et qu’il ne disposait pas de modalités de contrôle à cet égard ou encore à se tromper lors de la désactivation de ces cookies. 72. En second lieu, la formation restreinte note qu’il ressort de plusieurs études que les organismes ayant mis en place un bouton " Tout refuser " sur l’interface de recueil du consentement au premier niveau ont vu le taux de consentement relatif à l’acceptation des cookies diminuer. Ainsi, selon le " baromètre Privacy – édition 2021 " publié par la société COMMANDERS ACT, le taux de consentement sur ordinateur est passé de 70% à 55% en avril-mai 2021, depuis que la collecte du consentement est explicite. De même, selon une étude 366-Kantar, il apparaît que 41% des internautes en France ont refusé, systématiquement ou partiellement, le dépôt de cookies en juin 2021. 73. La formation restreinte estime en outre que le fait de rendre le mécanisme de refus des cookies plus complexe que celui consistant à les accepter revient en réalité à décourager les utilisateurs de refuser les cookies et à les inciter à privilégier la facilité du bouton " Accepter ". En effet, un utilisateur d’Internet est généralement conduit à consulter de nombreux sites. La navigation sur Internet se caractérise par sa rapidité et sa fluidité. Le fait de devoir cliquer sur " Plus d’options " et de devoir comprendre la façon dont est construite la page permettant de refuser les cookies est susceptible de décourager l’utilisateur, qui souhaiterait pourtant refuser le dépôt des cookies. Il n’est pas contesté qu’en l’espèce, la société offrait un choix entre l’acceptation ou le refus des cookies avant l’insertion du bouton " Tout refuser ", mais les modalités par lesquelles ce refus pouvait être exprimé, dans le contexte de la navigation sur internet, biaisait l’expression du choix en faveur du consentement de façon à altérer la liberté de choix. 74. Au regard de ce qui précède, la formation restreinte considère qu’un manquement aux dispositions de l’article 82 de la loi Informatique et Libertés, interprétées à la lumière du RGPD, est constitué, dans la mesure où, au moment du contrôle en ligne du 11 mai 2021 et jusqu’à la mise en place d’un bouton " Tout refuser " le 29 mars 2022, l’utilisateur n’avait pas la possibilité de refuser les opérations de lecture et/ou d’écriture avec le même degré de simplicité qu’il avait de les accepter. III. Sur les mesures correctrices et leur publicité 75. Aux termes de l’article 20, III, de la loi du 6 janvier 1978 modifiée, " Lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l’informatique et des libertés peut également, le cas échéant après lui avoir adressé l’avertissement prévu au I du présent article ou, le cas échéant en complément d’une mise en demeure prévue au II, saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l’une ou de plusieurs des mesures suivantes : […] 2° Une injonction de mettre en conformité le traitement avec les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi ou de satisfaire aux demandes présentées par la personne concernée en vue d'exercer ses droits, qui peut être assortie, sauf dans des cas où le traitement est mis en œuvre par l'État, d'une astreinte dont le montant ne peut excéder 100 000 € par jour de retard à compter de la date fixée par la formation restreinte ; […] 7° A l’exception des cas où le traitement est mis en œuvre par l’État, une amende administrative ne pouvant excéder 10 millions d’euros ou, s’agissant d’une entreprise, 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu. […] La formation restreinte prend en compte, dans la détermination du montant de l’amende, les critères précisés au même article 83 ". 76. L’article 83 du RGPD prévoit quant à lui que " chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour des violations du présent règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives ", avant de préciser les éléments devant être pris en compte pour décider s’il y a lieu d’imposer une amende administrative et pour décider du montant de cette amende. A. Sur le prononcé d’une amende administrative et son montant 77. La société considère que l’amende administrative proposée est disproportionnée par rapport aux manquement allégués et à sa conduite, à la position fragile de […] sur le marché des moteurs de recherche dominé par un seul acteur, au rôle essentiel que […] joue en offrant une alternative aux utilisateurs français et à la faible proportion par laquelle […] contribue à ses résultats financiers. 78. La formation restreinte rappelle que l’article 20, paragraphe III, de la loi Informatique et Libertés lui donne compétence pour prononcer diverses sanctions, notamment des amendes administratives dont le montant maximal peut être équivalant à 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent réalisé par le responsable de traitement ou à 10 millions d’euros. Elle ajoute que la détermination du montant de ces amendes s’apprécie au regard des critères précisés par l’article 83 du RGPD. 79. En premier lieu, la formation restreinte souligne qu’il convient, en l’espèce, de faire application du critère prévu à l’alinéa a) de l’article 83, paragraphe 2, du RGPD relatif à la gravité du manquement compte tenu de la portée du traitement et du nombre de personnes concernées par ce dernier. 80. La formation restreinte relève qu’en ne respectant pas les exigences de l’article 82 de la loi Informatique et Libertés, la société prive les utilisateurs du moteur de recherche […] résidant en France de la possibilité de choisir des modalités préservant la confidentialité de leurs données et des modalités permettant une meilleure personnalisation du service qui leur est proposé, réduisant ainsi leur autonomie informationnelle. Par ailleurs, l’absence de consentement préalable au dépôt de cookies dès l’arrivée des utilisateurs résidant en France sur le site web […] et lors de leur navigation sur ce dernier, constitue une atteinte substantielle au droit au respect à la vie privée des personnes concernées. Enfin, le déséquilibre entre les modalités offertes à l’utilisateur pour accepter ou refuser le dépôt de cookies sur son terminal ne lui permet pas de bénéficier d’une véritable liberté de choix. 81. La formation restreinte relève également le caractère massif du traitement. Elle rappelle que la société a indiqué que le moteur de recherche […] comptabilisait près de 11 millions de visiteurs uniques en France pour le mois de septembre 2020, soit un sixième de la population française. Le nombre de personnes concernées par les traitements en cause est ainsi conséquent à l’échelle de la population française. 82. En outre, la formation restreinte note qu’il ressort d’informations publiquement disponibles que le moteur de recherche […] est […], bien qu’il ne représente que 5% des parts de marché en nombre moyen mensuel de requêtes. La formation restreinte relève également que le moteur de recherche […] est utilisé par défaut pour les requêtes effectuées au sein des systèmes d’exploitation […]. La formation restreinte relève que, de fait, la base d’utilisateurs du moteur de recherche est étendue au-delà du seul segment des logiciels de navigation web. 83. En deuxième lieu, la formation restreinte estime qu’il convient de faire application du critère prévu à l’alinéa k) de l’article 83, paragraphe 2, du Règlement relatif aux avantages financiers obtenus du fait du manquement et à toute autre circonstance. 84. La formation restreinte rappelle que le dépôt du cookie […] sur le terminal des utilisateurs en France, avant toute action de leur part et sans leur consentement pour des finalités de lutte contre la fraude publicitaire relève de la publicité contextuelle. La formation restreinte relève également que le dépôt du cookie […] sur le terminal des utilisateurs en France, après navigation et sans leur consentement ainsi que l’absence de moyen analogue de refuser les cookies que de les accepter, ont des conséquences directes sur l’usage des cookies pour des finalités non essentielles qui relèvent de la publicité personnalisée. 85. À cet égard, la formation restreinte relève que les clients de l’équipe […] pour le public français, tels que […], achètent des espaces publicitaires sur le moteur de recherche […] et collaborent avec l’équipe […] afin de cibler les publics locaux et ainsi proposer les publicités les plus pertinentes. La formation restreinte relève que l’affichage de publicités personnalisées à un internaute n’est possible que si la navigation de ce dernier a pu être tracée grâce à un traceur, afin de déterminer quel contenu serait le plus pertinent à afficher. En outre, la formation restreinte souligne qu’il ressort des études évoquées ci-avant que les sociétés qui ont mis en place un bouton " Tout refuser " sur l’interface de recueil du consentement ont vu le taux de consentement relatif à l’acceptation des cookies diminuer, puisqu’une part importante des internautes refusent complètement ou partiellement les cookies et autres traceurs, ce qui a nécessairement un impact en termes de revenus liés à la publicité en ligne. Ainsi, la formation restreinte considère que le traitement en cause effectué par la société […] – consistant en des opérations d’accès ou d’inscription d’informations dans le terminal des utilisateurs résidant en France lors de l’utilisation du moteur de recherche […], sans mise en œuvre d’un mécanisme de refus du consentement aussi facile que celui d’accepter les cookies jusqu’à mars 2022 – participe à ce titre à générer un revenu publicitaire en France, au bénéfice de l’activité de la société. 86. Bien que le placement de cookies à des fins publicitaires ne constitue pas la source principale de revenus pour la société qui indique tirer l’essentiel de ses bénéfices de la revente de matériel, de la commercialisation et la concession de licences et de la distribution de logiciels, la formation restreinte relève que les revenus publicitaires facturés relatifs au domaine […] et réalisés en France, qui sont passés de […] en 2020 à […] en 2021, présentent une augmentation de […] %. 87. La formation restreinte relève également que les comptes de […] et de ses filiales qui sont publiquement disponibles démontrent que la publicité constitue l’un des modèles économiques majeurs du groupe […]. Le rapport annuel 2021 du groupe mentionne ainsi que sa marge brute a augmenté de 10 % en 2021 grâce, notamment, au secteur de la publicité. 88. Par ailleurs, la formation restreinte rappelle le contexte dans lequel la société […] a choisi de ne pas offrir à ses utilisateurs, sur le moteur de recherche […], de faculté de refuser aisément les cookies jusqu’en mars 2022. En effet, la CNIL a mis en œuvre un plan de mise en conformité sur la question des cookies étalé sur plusieurs années. La CNIL a communiqué publiquement sur son site web, à plusieurs reprises, sur le fait qu’il doit être aussi facile pour l’internaute de refuser les cookies que de les accepter. Ce fut le cas notamment le 1er octobre 2020, à l’occasion de la publication des lignes directrices et de la recommandation du 17 septembre 2020 précitées. La mise en conformité devait avoir lieu pour le 1er avril 2021. Des centaines de milliers d’acteurs, des plus petits sites aux plus importants, se sont mis en conformité et ont introduit sur leur interface de recueil du consentement un bouton " Refuser " ou " Continuer sans accepter ". 89. La formation restreinte note également qu’avant le contrôle en ligne du 11 mai 2021, un premier contrôle en ligne avait été réalisé par la délégation le 29 septembre 2020, et qu’une audition de la société […] avait été organisée le 4 février 2021 avec la délégation. En ce sens, la formation restreinte relève que la société […] était prévenue qu’une mise en conformité du moteur de recherche était attendue par la CNIL, que des cookies étaient déposés alors qu’un consentement était nécessaire et qu’elle disposait du temps nécessaire notamment pour mettre en place un moyen conforme de recueillir le consentement des utilisateurs. 90. La formation restreinte relève pourtant que ce n’est que le 29 mars 2022 que la société a choisi d’insérer un bouton " Tout refuser ", suite à la désignation d’un rapporteur par la présidente de la Commission. 91. En dernier lieu, la formation restreinte rappelle qu’en application des dispositions de l’article 20, paragraphe III, de la loi Informatique et Libertés, la société […] encourt une sanction financière d’un montant maximum de 2% de son chiffre d’affaires ou de 10 millions d’euros, le montant le plus élevé étant retenu. Compte tenu du chiffre d’affaires de la société s’élevant à […] en 2021, le montant maximal de l’amende encourue en l’espèce s’élève donc à plus de […]. 92. Dès lors, au regard de la responsabilité de la société, de ses capacités financières et des critères pertinents de l’article 83, paragraphe 2, du Règlement évoqués ci-avant, la formation restreinte estime qu’une amende de soixante millions d’euros à l’encontre de la société […] apparaît justifiée. B. Sur le prononcé d’une injonction 93. Le rapporteur a proposé à la formation restreinte, dans son rapport initial, de prononcer une injonction de mise en conformité relative aux conditions dans lesquelles le cookie […] est déposé sur le terminal des utilisateurs, assortie d’une astreinte d’un montant de soixante mille euros par jour de retard et liquidable à l’issue d’un délai de trois mois. 94. La société soutient que le prononcé d’une injonction n’est pas nécessaire. 95. En premier lieu, la formation restreinte relève que la société […] continue de déposer sur le terminal de l’utilisateur résidant en France, avant toute action, le cookie multi-finalités […] qui nécessite le recueil du consentement, en tant qu’il sert à la finalité de lutte contre la fraude publicitaire. Elle estime dès lors nécessaire le prononcé d’une injonction afin que la société se mette en conformité avec les obligations applicables en la matière. 96. En second lieu, la formation restreinte rappelle que le montant de l’astreinte doit être à la fois proportionné à la gravité des manquements commis et adapté aux capacités financières du responsable de traitement. 97. Au regard de ces éléments, la formation restreinte considère comme justifié le prononcé d’une injonction assortie d’une astreinte d’un montant de soixante mille euros par jour de retard et liquidable à l’issue d’un délai de trois mois. C. Sur la publicité 98. La société conteste la proposition du rapporteur de rendre publique la présente décision. Elle considère que la publication de la sanction entraînerait des conséquences importantes et disproportionnées en termes d’image et de réputation. Pour justifier cette demande de publicité, le rapporteur invoque notamment le nombre de personnes concernées et la nature du manquement constitué en l’espèce. 99. La formation restreinte considère que la publicité de la présente décision se justifie au regard de la gravité des manquements en cause, de la portée du traitement et du nombre de personnes concernées. 100. La formation restreinte relève que cette mesure permettra d’alerter les utilisateurs français du moteur de recherche […] de la caractérisation du manquement à l’article 82 de la loi Informatique et Libertés dans ses différentes branches et du prononcé d’une injonction pour y remédier. 101. Enfin, la mesure est proportionnée dès lors que la décision n’identifiera plus nommément la société à l’expiration d’un délai de deux ans à compter de sa publication. PAR CES MOTIFS La formation restreinte de la CNIL, après en avoir délibéré, décide de : • prononcer à l’encontre de la société […] une amende administrative d’un montant de soixante millions d’euros (60 000 000 €), au regard du manquement constitué à l’article 82 de la loi Informatique et Libertés ; • prononcer à l’encontre de la société […] une injonction de recueillir le consentement des utilisateurs lors de leur arrivée sur le site web […] avant toute opération de lecture et écriture d’informations sur le terminal des utilisateurs résidant en France ayant pour finalité la lutte contre la fraude publicitaire ; • assortir l’injonction d’une astreinte de soixante mille euros (60 000 €) par jour de retard à l’issue d’un délai de trois mois suivant la notification de la présente délibération, les justificatifs de la mise en conformité devant être adressés à la formation restreinte dans ce délai ; • rendre publique, sur le site de la CNIL et sur le site de Légifrance, sa délibération, qui n’identifiera plus nommément la société à l’expiration d’un délai de deux ans à compter de sa publication. Le président Alexandre LINDEN Cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’État dans un délai de quatre mois à compter de sa notification.


Délibération de la formation restreinte n°SAN-2022-024 du 20 décembre 2022 concernant la société x.

La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de Messieurs Alexandre LINDEN, président, Madame Christine MAUGÜÉ et Messieurs Bertrand du MARAIS et Alain DRU, membres ; Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ; Vu la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ; Vu le décret no 2019-536 du 29 mai 2019 pris pour l'application de la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ; Vu la décision n°2018-020C du 24 janvier 2018 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification de tout traitement relatif au domaine " [...]" et/ou à l’extension pour navigateurs Chrome et Chromium dénommée " […] " ; Vu les décisions n° 2019-228C, 2019-231C et 2019-232C du 17 décembre 2019 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification de tout traitement accessible à partir des applications "[...]", "[...]" et "[...]" ; Vu le rapport de Monsieur François PELLEGRINI, commissaire rapporteur, notifié à la société X. le 15 juin 2022 ; Vu les observations écrites versées par le conseil de la société X. le 30 août 2022 ; Vu la réponse du rapporteur à ces observations notifiée à la société X. le 30 septembre 2022 ; Vu les nouvelles observations écrites versées par le conseil de la société X., reçues le 7 novembre 2022 ; Vu les observations orales formulées lors de la séance de la formation restreinte du 24 novembre 2022 ; Vu les autres pièces du dossier ; Étaient présents, lors de la séance de la formation restreinte : Monsieur François PELLEGRINI, commissaire, entendu en son rapport ; En qualité de représentants de la société X. : […] ; La société X. ayant eu la parole en dernier ; La formation restreinte a adopté la décision suivante : Faits et procédure Créée en avril 2016 et ayant son siège social […] (Etats-Unis), la société X. (ci-après " la société ") est une filiale à 100% de la société Y, située en Israël. Elle ne dispose pas d’établissement sur le territoire de l’Union européenne. En 2021, la société a réalisé un chiffre d’affaires de […] dollars. La société assure la commercialisation d’une extension (ci-après " l'extension [...]"), disponible à partir du site " [...]", fonctionnant sur les navigateurs Chrome et Chromium et permettant à ses utilisateurs d’obtenir les coordonnées professionnelles (numéro de téléphone et adresse électronique) de personnes dont ils visitent le profil sur le réseau social LinkedIn ou sur la plateforme de relation clients Salesforce.com (ci-après " Salesforce "). La société édite également, via les sociétés YY, XY. et YZ qu’elle détient en totalité, les applications pour ordiphones appelées "[...]", "[...]" et "[...]", qui étaient disponibles depuis le territoire français sur les systèmes Android et iOS jusqu’en août 2022 et qui se présentaient comme offrant un service à l’utilisateur de " gestion des contacts ". Les 24 janvier et 1er février 2018, faisant suite à un signalement reçu en janvier 2018, une délégation de la CNIL a effectué un contrôle en ligne sur le site web " [...]" en vertu de la décision n° 2018-020C du 24 janvier 2018 de la présidente de la Commission nationale de l’informatique et des libertés (ci-après " la CNIL " ou " la Commission "). Cette mission avait pour objet de vérifier le respect, par la société, des dispositions de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après " la loi Informatique et Libertés " " ou " loi du 6 janvier 1978 "), en lien avec les traitements relatifs au domaine " [...]" et/ou à l’extension pour navigateurs Chrome et Chromium dénommée " […] ". Le 6 mars 2019, la délégation de contrôle a opéré un nouveau contrôle en ligne pour vérifier la conformité des traitements relatifs au domaine " [...]" et à l’extension [...], en particulier aux fins de vérifier l’instruction de deux plaintes reçues par les services de la CNIL respectivement le 22 octobre 2018 et le 14 février 2019. Des représentants de la société ont été auditionnés dans les locaux de la Commission le 18 juillet 2019. Les 19 et 20 décembre 2019, en vertu des décisions n° 2019-228C, 2019-231C et 2019-232C du 17 décembre 2019 de la présidente de la CNIL, les services de la Commission ont effectué, à partir d’un terminal mobile, trois contrôles en ligne sur les applications "[...]", "[...]" et "[…]". Ces contrôles avaient pour objet de vérifier la conformité des traitements accessibles à partir de ces applications mobiles, ou portant sur des données à caractère personnel collectées à partir de ces dernières auprès de tout organisme concerné par leur mise en œuvre, aux dispositions du règlement (UE) 2016/679 du Parlement européen et du Conseil relatif à la protection des données à caractère personnel (ci-après " le RGPD " ou " le Règlement ") et de la loi Informatique et Libertés. Par des courriers électroniques envoyés entre juillet 2019 et mai 2020, la société a fait parvenir à la CNIL plusieurs documents et éléments de réponse sollicités par les services de la Commission dans le cadre des investigations. Le 29 mars 2021, sur le fondement de l’article 22 de la loi du 6 janvier 1978, la présidente de la Commission a désigné Monsieur François PELLEGRINI en qualité de rapporteur aux fins d’instruction de ces éléments. Le 15 juin 2022, à l’issue de son instruction, le rapporteur a fait notifier à la société un rapport détaillant les manquements au RGPD qu’il estimait constitués en l’espèce. Le courrier de notification du rapport indiquait à la société qu’elle disposait d’un délai d’un mois pour communiquer ses observations écrites au titre des dispositions de l’article 40 du décret n° 2019-536 du 29 mai 2019 modifié, pris pour l'application de la loi Informatique et Libertés (ci-après " le décret du 29 mai 2019 "). Ce rapport proposait à la formation restreinte de prononcer une amende administrative à l’encontre de la société, ainsi qu’une injonction de mettre en conformité le traitement avec les articles 6 et 15 du RGPD à titre principal et les articles 14 à 15 à titre subsidiaire, assortie d’une astreinte à l’issue d’un délai de trois mois suivant la notification de la délibération. Il proposait également que cette décision soit rendue publique et ne permette plus d’identifier nommément la société à l’expiration d’un délai de deux ans à compter de sa publication. Par courrier du 22 juin 2022, la société a sollicité un délai complémentaire auprès du président de la formation restreinte pour produire ses observations en réponse au rapport du rapporteur, qui lui a été accordé le 24 juin suivant, sur le fondement de l’article 40, alinéa 4, du décret du 29 mai 2019. Le 30 août 2022, la société a produit des observations en réponse. Le 30 septembre 2022, le rapporteur a répondu aux observations de la société. Le 7 novembre 2022, la société a présenté de nouvelles observations en réponse à celles du rapporteur. Par courrier du 8 novembre 2022, le rapporteur a informé le conseil de la société que l’instruction était close, en application de l’article 40, III, du décret modifié n° 2019-536 du 29 mai 2019. Par courrier du même jour, la société a été informée de l’inscription du dossier à l’ordre du jour de la formation restreinte du 24 novembre 2022. Le rapporteur et la société ont présenté des observations orales lors de la séance de la formation restreinte. Motifs de la décision Sur le traitement en cause et la qualité de la société X vis-à-vis de ce traitement Sur le traitement de données à caractère personnel en cause : l’extension [...] En vertu de l’article 4, alinéa 2), du RGPD, constitue un traitement de données à caractère personnel " toute opération ou tout ensemble d'opérations effectuées ou non à l'aide de procédés automatisés et appliquées à des données ou des ensembles de données à caractère personnel, telles que la collecte, l'enregistrement, l'organisation, la structuration, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, la limitation, l'effacement ou la destruction ". En l’espèce, la formation restreinte relève qu’une fois installée sur un navigateur Chrome ou Chromium et après création d’un compte " […] ", l’extension commercialisée par la société permet à un utilisateur naviguant sur le réseau social LinkedIn ou sur la plateforme Salesforce.com d’obtenir des informations sur une personne dont le profil est visité par l’utilisateur (ci-après " la personne cible "), à savoir les coordonnées professionnelles de cette personne (numéro(s) de téléphone et/ou adresse(s) électronique(s)), lesquelles s’afficheront dans une fenêtre flottante sur la page visitée. Lorsque l’utilisateur consulte le profil LinkedIn ou la page Salesforce de la personne cible, l'extension comparera le nom de la personne cible avec les noms éventuellement identiques stockés dans la base de données de la société. Dans l’éventualité où au moins un résultat est retourné, l'extension vérifiera que l’entreprise renseignée comme étant l’employeur de la personne cible sur le profil LinkedIn ou Salesforce visité correspond bien à celle qui est recensée dans sa base de données. Si les critères précédents renvoient un résultat et que le numéro de téléphone et / ou l’adresse électronique associés à la personne cible apparaissent dans les carnets d’adresses numériques d’au moins deux personnes distinctes enregistrées dans la base de la société, le numéro et / ou l’adresse électronique associés seront affichés dans la fenêtre flottante de l’utilisateur visitant la page de la personne cible. Les représentants de la société ont précisé lors de l’audition du 18 juillet 2019 que l’extension fonctionne en version gratuite, avec un crédit de cinq contacts, et en version payante, avec un nombre de contacts dépendant de la quantité de crédits souscrits. Entre 2016 et août 2022, les données constituant la base de données de contacts de la société étaient collectées grâce aux trois applications mobiles de gestions de contacts "[...]", "[...]" et "[...]", développées par des filiales de la société, qui aspiraient les carnets d’adresses numériques de leurs utilisateurs pour les transférer à la société X. Plus concrètement, à l’ouverture initiale des applications une fenêtre surgissante apparaissait pour informer les utilisateurs qu’en créant leur compte ils s’apprêtaient à partager leurs contacts avec la " communauté des applications pour aider à la vérification d’identité ". La société opérait alors un filtrage des données transmises pour ne conserver que des données de contacts " professionnelles " (numéro(s) de téléphone et/ou adresse(s) électronique(s)), en excluant les données de contacts à usage personnel. Pour opérer ce filtrage, la société recourait, d’une part, à des informations accessibles au public pour comprendre la structure de l’adresse électronique et/ou du numéro de téléphone d’une société (p. ex. : prenom.nom@societe.com et pour une société française basée à Paris : + 33 1) et, d’autre part, à une liste blanche de noms de contacts professionnels établie par la société ZZ comprenant, à la date des contrôles, les contacts de 5 à 7 millions d'entreprises. Seuls les contacts appartenant à cette liste blanche étaient intégrés dans la base de données de la société X. Les applications précitées ayant été retirées du marché français en août 2022, le fonctionnement de l’extension faisait donc intervenir auparavant trois catégories distinctes de personnes : d’abord, les utilisateurs des applications mobiles, soit les personnes dont les carnets d’adresses contenant les données de contacts des personnes concernées étaient aspirés par les applications mobiles puis transmises dans la base de données […] ; ensuite, les personnes concernées, dites également personnes cibles, soit les personnes dont les données de contacts sont présentes dans la base de données […] et qui font l’objet du traitement en cause ; enfin, les utilisateurs de l’extension [...], c’est-à-dire les clients de la société, utilisant l’extension en version gratuite ou payante, qui visitent les profils LinkedIn ou Salesforce des personnes cibles afin, notamment, d’obtenir leurs coordonnées professionnelles pour les démarcher. Ainsi, les personnes concernées (au sens où ce terme sera utilisé ci-après), dont les données sont consultées par les clients de […], ne sont ni utilisatrices de l’extension [...], ni utilisatrices des applications développées par les filiales de la société, leur présence dans la base de données […] s’expliquant uniquement par le fait que leurs coordonnées figuraient dans le carnet d’adresses d’un ou de plusieurs de leurs contacts (ami, famille, collègue, etc.) ayant téléchargé les applications "[…]", "[...]" ou "[...]". La formation restreinte relève que la circonstance que la base de données en cause servant au fonctionnement de l'extension [...]soit, en principe, seulement constituée des coordonnées " professionnelles " des personnes demeure sans incidence sur le caractère " personnel " de ces données, selon une jurisprudence bien établie de la Cour de justice de l’Union européenne (voir, notamment, CJUE, 9 novembre 2010, Volker e. a., aff. C-92/09 et C-93/09, pt. 59). Elle relève, au demeurant, qu’il ressort de ce qui précède que les opérations d’aspiration des carnets d’adresses des utilisateurs des applications mobiles puis de filtrage de ces données amènent nécessairement la société à traiter également les coordonnées dites " personnelles " des contacts figurant dans les carnets d’adresses aspirés (coordonnées personnelles et autres données telles que les notes de contacts), quand bien même ces données ne seraient par la suite pas versées dans la base de données servant au fonctionnement de l’extension [...]. La société indique que l’extension a pour finalité de lutter contre la fraude en ligne en permettant à ses utilisateurs de s’assurer que la personne cible dont ils visitent le profil " est bien la personne qu’elle prétend être ou travaille bien pour la société à laquelle elle prétend appartenir " (audition du 18 juillet 2019). La formation restreinte note également qu’il a été constaté sur le site web de la société, lors du contrôle en ligne du 6 mars 2019, que la société présente son service comme permettant à ses utilisateurs de " remplir le défi de permettre un véritable contact avec vos clients, en connaissant [leurs] bons numéros de téléphone, adresse courriel et données de société. Accéder aux données dont vous avez besoin pour contacter vos prospects via les réseaux sociaux, le web, Saleforces ou l’API " et cite le témoignage d’un de ses utilisateurs, selon lequel il s’agirait de " la meilleure application pour trouver des numéros de téléphones et des informations relatives à des individus, rapide et facile d’usage " (traduction libre). Il résulte de ce qui précède que l’ensemble des différentes opérations de traitement évoquées ci-avant, toutes indispensables au fonctionnement de l’extension [...], et qui consistent, notamment, en la collecte, la conservation, la structuration, le croisement et la diffusion de données à caractère personnel, notamment des données de contacts " brutes " des utilisateurs des applications "[...]", "[...]" et "[...]" et des données issues de la liste blanche ZZ, participent à un seul et même traitement de données à caractère personnel poursuivant les finalités de lutte contre la fraude en ligne et de mise à disposition de coordonnées de prospects (ci-après " le traitement en cause "). Sur la qualité de la société X Au titre de l’article 4, alinéa 7), du RGPD, est responsable de traitement " la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement ". En l’espèce, la société a déclaré à la CNIL être " responsable des traitements résultant de l’utilisation de [l’extension [...]] " et que les sociétés YY, XY et YZ étaient responsables de traitement des applications mobiles qu’elles développent (à savoir les applications "[...]", "[...]" et "[...]"). Indépendamment de cette répartition, la formation restreinte considère que la société doit être considérée comme responsable de l’ensemble des opérations de traitement nécessaires au fonctionnement de son extension. Ainsi, la responsabilité de la société s’étend également à l’égard des opérations de collecte des données de contacts des personnes figurant dans les carnets d’adresses des utilisateurs des applications mobiles et de transmission de ces données vers la base […], dès lors que ces deux opérations étaient, à la date des contrôles, indispensables à l’alimentation de la base de données de contacts sans laquelle l'extension [...]ne pouvait pas fonctionner. Si, dans les faits, ces deux opérations de traitement étaient menées au sein des applications mobiles développées par les filiales de la société, la formation restreinte souligne que la société en était nécessairement à l’origine via le pouvoir décisionnel qu’elle exerce sur ces trois sociétés qu’elle détient à 100 % et qui ne disposent d’aucun employé. Dès lors, et sans qu’il soit besoin de déterminer si les filiales ont la qualité de seules responsables de traitement pour l’opération d’aspiration des données tandis que la société X serait seule responsable pour l’opération de transmission des données vers sa base, de coresponsables de traitement avec la société X pour les deux opérations, ou de sous-traitantes de la société X pour ces deux opérations, la formation restreinte estime que la société mère détermine, au moins en partie, les finalités et les moyens de ces opérations de traitement et est donc responsable de traitement. Il résulte de ce qui précède que la société est responsable du traitement en cause. Sur l’applicabilité du RGPD Le rapporteur soutient que la CNIL était compétente au titre de la loi Informatique et Libertés, puis au titre du RGPD, pour engager une procédure de contrôle puis une procédure de sanction à l’encontre de la société. Plus particulièrement, il considère que le RGPD est applicable au traitement en cause au titre de son article 3, paragraphe 2, b), dès lors que le traitement concerne des données à caractère personnel relatives à des personnes concernées sur le territoire de l’Union européenne et qu’il est lié au suivi du comportement de ces personnes. La société considère que la CNIL est incompétente depuis l’engagement de la procédure de contrôle. Elle estime notamment que le RGPD ne lui est pas applicable dans la mesure où elle ne traiterait pas de données à caractère personnel liées au " comportement " des personnes concernées et ne mettrait pas en œuvre d’activités de " suivi ", ni de " profilage " et joint à ce soutien les conclusions d’un rapport d’expertise diligenté à son initiative. Elle ajoute que l’inapplicabilité du RGPD à ses activités aurait été confirmée par la Commission nationale pour la protection des données, l’autorité luxembourgeoise de protection des données (ci-après " la CNPD "), qui se serait prononcée sur le sujet dans un courrier électronique en date du 9 juin 2022. L’article 3 du RGPD, relatif au champ d’application territorial, prévoit que ce texte s’applique : " 1. […] au traitement des données à caractère personnel effectué dans le cadre des activités d'un établissement d'un responsable du traitement ou d'un sous-traitant sur le territoire de l'Union, que le traitement ait lieu ou non dans l'Union. 2. […] au traitement des données à caractère personnel relatives à des personnes concernées qui se trouvent sur le territoire de l'Union par un responsable du traitement ou un sous-traitant qui n'est pas établi dans l'Union, lorsque les activités de traitement sont liées : a) à l'offre de biens ou de services à ces personnes concernées dans l'Union, qu'un paiement soit exigé ou non desdites personnes ; ou b) au suivi du comportement de ces personnes, dans la mesure où il s'agit d'un comportement qui a lieu au sein de l'Union ". Selon l’article 4, alinéa 4, du RGPD, le profilage est défini comme " toute forme de traitement automatisé de données à caractère personnel consistant à utiliser ces données à caractère personnel pour évaluer certains aspects personnels relatifs à une personne physique, notamment pour analyser ou prédire des éléments concernant le rendement au travail, la situation économique, la santé, les préférences personnelles, les intérêts, la fiabilité, le comportement, la localisation ou les déplacements de cette personne physique ". Le considérant 24 du RGPD précise à cet égard que " Le traitement de données à caractère personnel de personnes concernées qui se trouvent dans l’Union par un responsable du traitement ou un sous-traitant qui n'est pas établi dans l’Union devrait également être soumis au présent règlement lorsque ledit traitement est lié au suivi du comportement de ces personnes dans la mesure où il s’agit de leur comportement au sein de l’Union. Afin de déterminer si une activité de traitement peut être considérée comme un suivi du comportement des personnes concernées, il y a lieu d’établir si les personnes physiques sont suivies sur Internet, ce qui comprend l’utilisation ultérieure éventuelle de techniques de traitement des données à caractère personnel qui consistent en un profilage d’une personne physique, afin notamment de prendre des décisions la concernant ou d’analyser ou de prédire ses préférences, ses comportements et ses dispositions d’esprit ". À titre d’éclairage, dans ses lignes directrices 3/2018 relatives au champ d’application territorial du RGPD dans leur version du 12 novembre 2019, le Comité européen de protection des données (ci-après " le CEPD ") relève que, " contrairement à la disposition de l’article 3, paragraphe 2, point a), ni l’article 3, paragraphe 2, point b), ni le considérant 24 n’introduisent expressément un degré nécessaire d’" intention de cibler " de la part du responsable du traitement ou du sous-traitant pour déterminer si l’activité de surveillance déclencherait l’application du RGPD aux activités de traitement. Toutefois, l’utilisation du mot " suivi " implique que le responsable du traitement poursuit un objectif spécifique en vue de la collecte et de la réutilisation ultérieure des données pertinentes relatives au comportement d’une personne au sein de l’Union. Le comité n’estime pas que la collecte ou l’analyse en ligne de données à caractère personnel relatives à des personnes dans l'Union serait automatiquement considérée comme un " suivi ". Il sera nécessaire de tenir compte de la finalité du traitement des données par le responsable du traitement et, en particulier, de toute analyse comportementale ou technique de profilage ultérieure impliquant ces données. Le comité tient compte du libellé du considérant 24, qui indique que pour déterminer si le traitement implique le suivi du comportement d'une personne concernée, le suivi des personnes physiques sur Internet, y compris l’utilisation ultérieure potentielle de techniques de profilage, constitue un facteur important ". En l’espèce, dès lors que la société ne dispose d’aucun établissement dans l’Union européenne et que l'extension [...]n’est pas liée à une offre de biens ou de services aux " personnes concernées " telles que définies au § 28 de la présente décision, la formation restreinte relève que ni le critère de l’établissement prévu au paragraphe 1 de l’article 3 du RGPD, ni celui relatif à l’offre de services aux personnes concernées dans l’Union prévu au paragraphe 2, a) du même article ne sont applicables. En ce qui concerne le critère relatif au suivi de comportement des personnes concernées, prévu au paragraphe 2, b) de ce même article 3 et dont l’applicabilité est invoquée par le rapporteur, la formation restreinte relève que si la société traite effectivement des données à caractère personnel de personnes situées dans l’Union européenne et, en particulier, en France, il n’est pas établi que ces personnes fassent l’objet d’un suivi de comportement par la société. En effet, la formation restreinte relève que la constitution de la base de données par la société repose uniquement sur le rapprochement entre des données de contacts professionnels (téléphone, adresse électronique) avec l’identité des personnes dont le profil est visité sur LinkedIn afin d’en vérifier la véracité. Il ne s’agit donc pas, en l’espèce, d’un traitement qui consiste à analyser ou prédire un comportement, les préférences personnelles ou les déplacements d’une personne, ses intérêts, sa situation économique ou son état de santé. La formation restreinte considère que la société n’utilise pas de techniques de traitement de données à caractère personnel qui consistent en un profilage d’une personne physique. Il résulte de ce qui précède que le RGPD n’est pas applicable au traitement en cause. Par conséquent, il n’entre pas dans les pouvoirs de la formation restreinte de prononcer une sanction. Il apparaît opportun que l’ensemble des utilisateurs des applications en cause soient informés que les traitements mis en œuvre par la société X ne sont pas soumis au RGPD. Il convient en conséquence d’ordonner la publication de la présente délibération. PAR CES MOTIFS La formation restreinte de la CNIL, après en avoir délibéré, décide : qu’il n’y a pas lieu au prononcé d’une sanction ; de rendre publique, sur le site web de la CNIL et sur le site web de Légifrance, sa délibération, qui ne permettra plus d’identifier nommément la société à l’issue d’une durée de deux ans à compter de sa publication. Le président Alexandre LINDEN Cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’État dans un délai de quatre mois à compter de sa notification.