Sanction CNIL pour X

Commission Nationale de l'Informatique et des LibertésDélibération n°2016-185 du 12 juillet 2016Délibération du bureau de la Commission nationale de l’informatique et des libertés n° 2016-185 du 12 juillet 2016 décidant de rendre publique la mise en demeure n° 2016-058 du 30 juin 2016 prise à l’encontre de la société X Etat: VIGUEUR

Le bureau de la Commission nationale de l’informatique et des libertés, réuni le 12 juillet 2016 sous la présidence de Mme Isabelle FALQUE-PIERROTIN ;

Etaient aussi présents Mme Marie-France MAZARS, Vice-présidente déléguée, et M. Eric PERES, Vice-président ;

Vu la convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;

Vu la directive n° 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;

Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 45 et 46 ;

Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;

Vu la délibération n° 2013-175 du 4 juillet 2013 fixant le règlement intérieur de la Commission nationale de l’informatique et des libertés ;

Vu la décision n° 2016-058 du 30 juin 2016 de la Présidente de la Commission mettant en demeure la société X.

A adopté la délibération suivante :

Par décision du 30 juin 2016, la Présidente de la Commission a, sur le fondement de l’article 45 de la loi du 6 janvier 1978 modifiée, mis en demeure la société X sise […], de faire cesser sous un délai de trois mois les manquements constatés à cette même loi.

En application de l’article 46 deuxième alinéa de la loi du 6 janvier 1978 modifiée, la Présidente de la CNIL a régulièrement convoqué le bureau de la Commission aux fins de statuer sur sa demande de rendre publique sa décision.

Le bureau a été réuni à cette fin le 12 juillet 2016.

Après en avoir délibéré, le bureau considère que la publicité de la décision de mise en demeure se justifie par les nombreux manquements constatés et l’atteinte consécutive aux droits des personnes concernées s’agissant notamment de l’activation par défaut de l’identifiant publicitaire des utilisateurs de […] sans recueil préalable de leur consentement, du caractère excessif des données collectées par la société dans le cadre de la télémétrie ainsi que de l’absence de mesures suffisantes pour assurer la sécurité et la confidentialité des données. La société permet, en effet, aux utilisateurs de se connecter depuis leur machine à l’ensemble de ses services en ligne au moyen d’un code PIN d’un minimum de quatre caractères sans qu’il n’existe de mécanisme de blocage après plusieurs tentatives infructueuses d’authentification.

Le bureau estime également que la mesure de publicité se justifie tant par le statut et la taille de l’organisme en cause, […] dans la commercialisation de systèmes d’exploitation et de logiciels, que par le nombre de personnes concernées par ses traitements (plus de dix millions d’utilisateurs de […] sur le territoire national).

Le bureau considère enfin que la publicité de la mise en demeure a vocation, d’une part, à appeler l’attention de l’organisme en cause sur les manquements constatés et lui permettre de se mettre en conformité dans les délais impartis par la mise en demeure, et d’autre part, d’informer les utilisateurs de […] sur leurs droits, et plus particulièrement sur leur possibilité de contrôler les données à caractère personnel qui sont collectées.

En conséquence, le bureau de la Commission nationale de l’informatique et des libertés décide de rendre publique la décision n° 2016-058 de la Présidente de la CNIL mettant en demeure la société X.

Le bureau rappelle que cette mise en demeure ne revêt pas le caractère d’une sanction. A ce titre, aucune suite ne sera donnée à la procédure si l’organisme concerné se conforme en tout point aux exigences de la mise en demeure dans le délai imparti. Si tel est le cas, celle-ci fera l’objet d’une clôture qui sera également rendue publique.

La Présidente

Isabelle FALQUE-PIERROTIN

Nature de la délibération: AVERTISSEMENT
Date de la publication sur legifrance: 30 décembre 2016