Sanction de 25 000 euros

La condamnation de l’éditeur du site Challenges.fr a été confirmée par le Conseil d’Etat. La CNIL avait diligenté en 2014 une mission de contrôle auprès de la société. Plusieurs manquements aux dispositions de la loi du 6 janvier 1978 avaient été constatés à 1’occasion de ce contrôle en ligne. Eu égard à la nature, à la gravité et à la persistance des manquements constatés, la formation restreinte la CNIL n’a pas infligé à l’éditeur une sanction disproportionnée en prononçant à son encontre une sanction pécuniaire d’un montant de 25 000 euros non rendue publique.

Information des visiteurs du site

En premier lieu, la société n’avait pas inscrit sur les formulaires permettant de créer un compte sur le site internet challenges.fr, l’intégralité des mentions d’information obligatoires prévues par le I de l’article 32 (alors applicable) à savoir l’identité du responsable du traitement, de la finalité poursuivie par le traitement auquel les données sont destinées, du caractère obligatoire ou facultatif des réponses, des conséquences éventuelles, à son égard, d’un défaut de réponse, des destinataires ou catégories de destinataires des données, des éventuels transferts de données à caractère personnel envisagés à destination d’un Etat non membre de la Communauté européenne …

Information sur l’exploitation de cookies

La société n’avait également pas respecté le II de l’article 32 de la loi du 6 janvier 1978, dans sa version applicable à la date de la mise en demeure, selon lequel tout abonné ou utilisateur d’un service de communications électroniques doit être informé de manière claire et complète, sauf s’il l’a été au préalable, par le responsable du traitement ou son représentant : i) de la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans son équipement terminal de communications électroniques, ou à inscrire des informations dans cet équipement ; ii) des moyens dont il dispose pour s’y opposer. Ces accès ou inscriptions de cookies ne peuvent avoir lieu qu’à condition que l’abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son accord qui peut résulter de paramètres appropriés de son dispositif de connexion ou de tout autre dispositif placé sous son contrôle.

Ces dispositions, éclairées par les objectifs de la directive du 12 juillet 2002 instituent une obligation d’information claire et complète des utilisateurs d’internet sur les témoins de connexion (” cookies “) qui sont susceptibles d’être déposés, notamment sous la forme de fichiers, sur leurs terminaux lorsqu’ils visitent un site, ces témoins de connexion et les informations qu’ils contiennent étant par la suite accessibles lors de connexions ultérieures à internet à l’aide du même terminal. Elles imposent, d’une part, une information des utilisateurs de services de communications électroniques, en particulier des utilisateurs d’internet, sur la finalité de ces ” cookies ” et les moyens dont ils disposent pour s’y opposer. Elles imposent, d’autre part, le recueil de leur consentement avant tout dépôt de ” cookies ” sur le terminal grâce auquel ils accèdent à ces services. Ne sont pas concernés par ces obligations les ” cookies ” qui sont essentiels au fonctionnement technique du site ni ceux qui correspondent à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur.

Le fait que certains ” cookies ” ayant une finalité publicitaire soient nécessaires à la viabilité économique d’un site ne saurait conduire à les regarder comme ” strictement nécessaires à la fourniture ” du service de communication en ligne.

Information insuffisante

La société a soutenu sans succès qu’elle s’était mise en conformité avec ces exigences dès le mois de juin 2016, en proposant aux personnes concernées le paramétrage de leur navigateur pour s’opposer au dépôt de ” cookies “. Or, les éléments portés à la connaissance des utilisateurs du site challenges.fr, ne leur permettaient ni de différencier clairement les catégories de ” cookies ” susceptibles d’être déposés sur leur terminal, ni de s’opposer seulement à ceux dont le dépôt est soumis à leur consentement préalable, ni de connaître les conséquences, en termes de navigation sur le site, attachées à leur éventuelle opposition.

Durée de conservation des cookies

Aux termes de l’article 6 de la loi du 6 janvier 1978, un traitement ne peut porter que sur  des données à caractère personnel qui satisfont aux conditions suivantes : « v) elles sont conservées sous une forme permettant l’identification des personnes concernées pendant une durée qui n’excède pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées ». L’utilisation de ” cookies ” répond à ces caractéristiques, leur durée de conservation doit donc être fixée et portée à la connaissance des visiteurs (dans cette affaire un délai de treize mois était conseillé par la CNIL). Il en va de même lorsque l’éditeur sous-traite à des tiers la gestion de ” cookies ” mis en place pour son compte. Les autres tiers qui déposent des ” cookies ” à l’occasion de la visite du site d’un éditeur doivent être considérés comme responsables de traitement. Toutefois, les éditeurs de site qui autorisent le dépôt et l’utilisation de tels ” cookies ” par des tiers à l’occasion de la visite de leur site doivent également être considérés comme responsables de traitement, alors même qu’ils ne sont pas soumis à l’ensemble des obligations qui s’imposent au tiers qui a émis le ” cookie “, notamment lorsque ce dernier conserve seul la maitrise du respect de sa finalité ou de sa durée de conservation. Au titre des obligations qui pèsent sur l’éditeur de site dans une telle hypothèse, figurent celle de s’assurer auprès de ses partenaires qu’ils n’émettent pas, par l’intermédiaire de son site, des ” cookies ” qui ne respectent pas la règlementation applicable en France et celle d’effectuer toute démarche utile auprès d’eux pour mettre fin à des manquements.

Obligation de coopérer avec la CNIL

Il découle également de l’article 21 de la loi du 6 janvier 1978 une obligation de coopération, qui implique que les personnes mises en demeure par la CNIL lui communiquent, au plus tard à l’expiration du délai qui leur a été fixé, tous les éléments lui permettant d’apprécier si et dans quelle mesure il a été remédié aux manquements constatés. Dès lors que la personne contrôlée  n’a pas fourni de tels éléments dans le délai qui lui a été assigné, la formation restreinte de la CNIL est end droit de constater que le  manquement à l’obligation de coopérer est caractérisé.

[toggles class=”yourcustomclass”]

[toggle title=”Télécharger la Décision” class=”in”]Télécharger [/toggle]

[toggle title=”Réseau social juridique B2B”]Rejoignez le 1er réseau social juridique B2B LexSider.com : vos futures relations d’affaires vous y attendent.[/toggle]

[toggle title=”Poser une Question”]Posez une Question Juridique sur cette thématique, la rédaction ou un abonné vous apportera une réponse en moins de 48h.[/toggle]

[toggle title=”Surveillance & Analyse de Marque” class=”in”]Surveillez et analysez la réputation d’une Marque (la vôtre ou celle d’un concurrent), d’une Personne publique (homme politique, acteur, sportif …) sur tous les réseaux sociaux (Twitter, Facebook …). Testez gratuitement notre plateforme de Surveillance de Marque et de Réputation numérique.[/toggle]

[toggle title=”Paramétrer une Alerte”]Paramétrez une alerte de Jurisprudence sur ce thème pour être informé par email lorsqu’une décision est rendue sur ce thème[/toggle]

[/toggles]