Vu la procédure suivante :

Par une requête sommaire, un mémoire complémentaire et un mémoire en réplique, enregistrés les 22 mars 2024, 19 juin 2024 et 21 janvier 2025, au secrétariat du contentieux du Conseil d’Etat, la société Tagadamedia demande au Conseil d’Etat :

1°) d’annuler la décision n° SAN-2023-025 de la formation restreinte de la Commission nationale de l’informatique et des libertés (CNIL) en date du 29 décembre 2023 lui infligeant une amende administrative de 75 000 euros pour manquements aux articles 6 et 30 du règlement général sur la protection des données (RGPD), lui enjoignant, sous astreinte de 1 000 euros par jour de retard, de mettre en œuvre, dans un délai d’un mois à compter de la notification de cette décision, sur les sites qu’elle édite, un formulaire de collecte des données de prospects permettant de recueillir un consentement libre, spécifique, éclairé et univoque quant à la transmission des données à caractère personnel à des partenaires à des fins de prospection et ordonnant la publication de cette décision sur les sites internet de la CNIL et de Légifrance dans des conditions ne permettant plus d’identifier nommément la société à l’issue d’une période de deux ans à compter de cette publication ;

2°) subsidiairement, de réformer la délibération litigieuse en diminuant le montant de la sanction qui lui a été infligée et d’enjoindre à la CNIL de publier sur son site internet et sur le site de Légifrance la décision réformant cette délibération ;

3°) de mettre à la charge de la CNIL la somme de 6 000 euros au titre de l’article L. 761-1 du code de justice administrative.

Vu les autres pièces du dossier ;

Vu :

- la Constitution et notamment son Préambule ;

- la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales ;

- le règlement (UE) 2016/679 du Parlement européen et du Conseil du 26 avril 2016 ;

- la loi n° 78-17 du 6 janvier 1978 ;

- le décret n° 2019-536 du 29 mai 2019 ;

- le code de justice administrative ;

Après avoir entendu en séance publique :

- le rapport de M. Jean de L’Hermite, conseiller d’Etat,

- les conclusions de M. Frédéric Puigserver, rapporteur public ;

La parole ayant été donnée, après les conclusions, à la SCP Rocheteau, Uzan-Sarano & Goulet, avocat de la Société Tagadamedia ;

Considérant ce qui suit :

1. La société Tagadamedia, dont l’activité consiste à organiser des jeux-concours sur les sites internet qu’elle gère et à transmettre, contre rémunération, à ses partenaires commerciaux des données à caractère personnel des participants, parmi lesquelles leurs noms, adresses postale et électronique, et numéros de téléphone, à des fins de prospection commerciale par ces partenaires, demande l’annulation de la délibération du 29 décembre 2023 par laquelle la formation restreinte de la Commission nationale de l’informatique et des libertés (CNIL) a prononcé à son encontre une amende administrative d’un montant de 75 000 euros pour manquements aux articles 6 et 30 du règlement général sur la protection des données (RGPD), lui a enjoint, sous astreinte de 1 000 euros par jour de retard à l’issue d’un délai d’un mois suivant la notification de cette délibération, de mettre en œuvre sur les sites qu’elle édite un formulaire de collecte des données de prospects permettant de recueillir un consentement libre, spécifique, éclairé et univoque à la transmission de leurs données à caractère personnel à des partenaires et a décidé de rendre publique cette délibération, en l’assortissant d’une procédure d’anonymisation à l’expiration d’un délai de deux ans.

Sur la régularité de la délibération attaquée :

2. En premier lieu, il résulte de l’instruction que, par lettre du 13 mai 2022, reçue par son destinataire le même jour, la présidente de la CNIL a informé le procureur de la République près le tribunal judiciaire de Paris, dans le ressort duquel étaient situés les locaux de la société Tagadamedia, de la date, de l’heure et de l’objet de la mission de vérification sur place que la Commission avait décidé d’effectuer dans ces locaux les 18 et 19 mai 2022. Par suite, le moyen tiré de ce qu’aurait été méconnue l’obligation, prévue par les dispositions des articles 19 de la loi du 6 janvier 1978 et 25 du décret du 29 mai 2019 pris pour son application, d’information préalable du procureur de la République territorialement compétent au moins vingt-quatre heures avant la date de la visite des membres de la CNIL et de ses agents habilités à cet effet dans les locaux servant à la mise en œuvre d’un traitement de données à caractère personnel, ne peut qu’être écarté.

3. En deuxième lieu, aux termes de l’article 20 de la loi du 6 janvier 1978, dans sa rédaction applicable au litige : « (…) III « Lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l’informatique et des libertés peut également (…) saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l’une ou de plusieurs des mesures suivantes : / (…) 7° (…) une amende administrative (…) ». Aux termes de l’article 61 du règlement intérieur de la CNIL : « La formation restreinte se réunit sur convocation de son président ou, en cas d’absence ou d’empêchement, de son vice-président. / La convocation fixe le lieu, la date, l’heure et l’ordre du jour des séances. Elle est transmise par voie électronique ou tout autre moyen. Elle est communiquée aux membres de la formation restreinte, aux rapporteurs dont les dossiers sont inscrits à la séance et au commissaire du gouvernement ».

4. Il résulte de l’instruction, d’une part, que, par lettre du 22 juin 2023, la présidente de de la CNIL a informé les membres et le président de la formation restreinte de sa décision de la saisir en vue de prononcer une ou plusieurs des mesures prévues à l’article 20 de la loi du 6 janvier 1978 à l’encontre de la société Tagadamedia et, d’autre part, que, par un courrier électronique du 28 novembre 2023, les membres de la formation restreinte ont été régulièrement convoqués à la séance qui s’est tenue le 7 décembre 2023, dont l’ordre du jour mentionnait l’examen du rapport relatif à cette affaire. Par suite, le moyen tiré de ce que la formation restreinte n’aurait pas été régulièrement saisie et convoquée, en méconnaissance des dispositions de la loi du 6 janvier 1978 et du règlement intérieur de la CNIL, doit être écarté.

5. En troisième lieu, aux termes de l’article 69 du règlement intérieur de la CNIL : « Les décisions adoptées par la formation restreinte sont appelées « délibérations ». Elles sont signées par le président de la formation (…). Elles (…) portent la date du jour de leur signature ». Il résulte de l’instruction, et notamment de la fiche de présence produite par la CNIL, que M^me A… n’était pas présente lors de la séance du 7 décembre 2023 au cours de laquelle l’affaire a été examinée et délibérée. La circonstance que, par l’effet d’une erreur purement matérielle, la délibération attaquée mentionne son nom parmi les membres de la formation restreinte n’est pas de nature à l’entacher d’irrégularité.

Sur la méconnaissance des droits de la défense :

6. Aux termes de l’article 16 de la Déclaration des droits de l’homme et du citoyen de 1789 : « Toute société dans laquelle la garantie des droits n’est pas assurée, ni la séparation des pouvoirs déterminée, n’a point de Constitution ». Cette disposition implique notamment qu’aucune sanction ayant le caractère d’une punition ne puisse être infligée à une personne sans que celle-ci ait été mise à même de présenter ses observations sur les faits qui lui sont reprochés. S’agissant des mesures à caractère de sanction, le respect du principe général des droits de la défense suppose que la personne concernée soit informée, avec une précision suffisante et dans un délai raisonnable avant le prononcé de la sanction, des griefs formulés à son encontre et puisse avoir accès aux pièces au vu desquelles les manquements ont été retenus, à tout le moins lorsqu’elle en fait la demande.

7. Aux termes de l’article 22 de la loi du 6 janvier 1978 dans sa rédaction applicable au litige : « Les mesures prévues au III de l’article 20 (…) de la présente loi sont prononcées sur la base d’un rapport établi par l’un des membres de la Commission nationale de l’informatique et des libertés, désigné par le président de celle-ci parmi les membres n’appartenant pas à la formation restreinte. Ce rapport est notifié au responsable de traitement ou à son sous-traitant, qui peut déposer des observations et se faire représenter ou assister ». Aux termes de l’article 5 du règlement général sur la protection des données : « Les données à caractère personnel doivent être : a) traitées de manière licite, loyale et transparente au regard de la personne concernée (…) ». Aux termes de l’article 6 du même règlement : « 1. Le traitement n’est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie : / a) la personne concernée a consenti au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques (…) ».

8. Il résulte de l’instruction que le rapport adopté sur le fondement de l’article 22 de la loi du 6 janvier 1978, notifié à la société Tagadamedia pour lui permettre de faire valoir ses observations et sur la base duquel la délibération litigieuse a été prise, relevait que, lorsqu’un participant à un jeu-concours organisé par la société n’avait pas consenti à la transmission de ses données personnelles, la société s’abstenait de transmettre son adresse électronique à ses partenaires mais qu’elle leur transmettait néanmoins l’adresse et le numéro de téléphone de ce participant. Le rapport proposait à la formation restreinte de retenir qu’en laissant croire aux utilisateurs que toutes leurs données étaient transmises sur le fondement de leur consentement, alors que certains données étaient transmises, à leur insu, sur le fondement d’un intérêt légitime, et en ne prévoyant pas d’option pour s’opposer à la transmission de ces données, la société avait mis en œuvre un traitement déloyal des données, constituant un manquement aux obligations prévues par les dispositions de l’article 5 du RGPD, à l’exclusion de tout autre grief. En ne retenant pas ce grief mais en lui substituant un grief distinct, fondé sur les mêmes faits mais tiré de la méconnaissance par la société de l’obligation, prévue par les dispositions précitées de l’article 6 du règlement, de recueillir le consentement des personnes concernées préalablement à toute transmission de leurs données à caractère personnel, alors que ce grief n’avait pas été retenu par le rapport communiqué à la société et qu’elle n’avait donc pas pu formuler d’observations en réponse sur ce point, la formation restreinte a méconnu le principe des droits de la défense. Par suite, la société requérante est fondée à demander l’annulation de la délibération attaquée dans la mesure où elle retient ce manquement.

Sur les manquements constatés aux règles relatives au consentement :

9. Le a) de l’article 6 du RGPD, cité au point 7, prévoit que le consentement de la personne concernée est un des fondements possibles d’un traitement de données personnelles. Le 11 de l’article 4 du même règlement précise que le consentement s’entend comme « toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l’objet d’un traitement ». Aux termes de l’article 7 du même règlement : « 1. Dans les cas où le traitement repose sur le consentement, le responsable du traitement est en mesure de démontrer que la personne concernée a donné son consentement au traitement de données à caractère personnel la concernant. / 2. Si le consentement de la personne concernée est donné dans le cadre d’une déclaration écrite qui concerne également d’autres questions, la demande de consentement est présentée sous une forme qui la distingue clairement de ces autres questions, sous une forme compréhensible et aisément accessible, et formulée en des termes clairs et simples (…) ». Il résulte de ces dispositions, telles qu’interprétées par la Cour de justice de l’Union européenne dans son arrêt C-673/17 du 1er octobre 2019, que le consentement libre, spécifique, éclairé et univoque ne peut qu’être un consentement exprès de l’utilisateur, donné en toute connaissance de cause et après une information adéquate sur l’usage qui sera fait de ses données personnelles.

10. Il résulte de l’instruction que pendant la période couverte par les contrôles de la CNIL, la société Tagadamedia a eu recours à deux formulaires différents de recueil du consentement destinés aux personnes désirant participer aux jeux-concours qu’elle organisait sur les sites internet gérés par elle. Le premier de ces formulaires comportait, sous les champs permettant aux participants d’insérer leurs coordonnées un bouton unique sur lequel était inscrite la mention « je valide » en caractère d’imprimerie. Au-dessus de ce bouton, un texte écrit en caractères d’une taille nettement inférieure précisait qu’en cochant ce bouton, l’utilisateur acceptait que les données collectées soient utilisées pour lui envoyer les offres des partenaires de la société. Des liens hypertexte permettaient d’accéder à la politique de protection des données et à la liste des partenaires concernés. La fin du texte précisait que si l’utilisateur souhaitait continuer sans recevoir les offres des partenaires de la société, il pouvait cliquer sur un lien présent dans le texte, intitulé « je clique ici ». Une autre case à cocher permettait d’accepter le règlement de l’opération. Le second formulaire, mis en place à compter de 2017, comportait, sous les champs permettant aux personnes concernées d’insérer leurs coordonnées, deux boutons intitulés respectivement « je valide » et, avec des caractères de taille inférieure, « je refuse ». Au-dessus de ces boutons, un texte écrit en caractère de taille nettement inférieure à celles utilisées pour les boutons précisait qu’en cochant le bouton « je valide », l’utilisateur acceptait que les données collectées soient utilisées pour lui envoyer des offres des partenaires de la société. Une autre case à cocher permettait d’accepter le règlement de l’opération.

11. Ces formulaires subordonnaient le consentement, par les personnes concernées, à la transmission de leurs données à caractère personnel en vue d’un traitement à des fins de prospection commerciale à un acte positif, consistant à cocher le bouton « je valide », et les indications données sur les formulaires précisaient les conséquences de ce consentement. Toutefois, c’est sans erreur d’appréciation que la formation restreinte a retenu que ces formulaires ne permettaient pas un consentement libre, spécifique, éclairé et univoque des utilisateurs au sens des dispositions de l’article 6 du RGPD, dès lors que le bouton « je valide » était mis en valeur et que des ambiguïtés demeuraient sur les conséquences liées au fait d’actionner l’autre bouton.

Sur le respect du principe de légalité des délits et des peines :

12. Le principe de légalité des délits et des peines, qui s’étend à toute sanction ayant le caractère d’une punition, fait obstacle à ce qu’une autorité administrative inflige une sanction si, à la date des faits litigieux, la règle en cause n’est pas suffisamment claire, de sorte qu’il n’apparaît pas de façon raisonnablement prévisible par les professionnels concernés que le comportement litigieux est susceptible d’être sanctionné.

13. La société requérante fait valoir que si la CNIL avait publié, à la date des faits ayant motivé la sanction litigieuse, des recommandations relatives à la prospection commerciale, celles-ci étaient peu représentatives des pratiques du secteur du marketing digital dans lequel elle exerce son activité. Toutefois, les dispositions du RGPD relatives au recueil du consentement, lorsqu’il constitue le fondement déclaré d’un traitement automatisé de données personnelles, établissaient clairement la nécessité d’un consentement univoque des personnes concernées. Par suite, le moyen tiré de la méconnaissance, par la délibération attaquée, du principe constitutionnel de légalité des délits et des peines doit être écarté.

Sur le montant de l’amende administrative :

14. Il résulte de ce qui a été dit précédemment que la société Tagadamedia est fondée à demander la réformation de la délibération qu’elle attaque en ce qu’elle a qualifié de manquement aux dispositions de l’article 6 du RGPD les conditions dans lesquelles une partie des données personnelles des utilisateurs des sites que la société édite étaient transmises à ses partenaires sans que les personnes concernées y aient consenti. Dans ces conditions, il y a lieu de réformer le montant de l’amende administrative prononcée par la délibération attaquée. Il sera fait une juste appréciation de l’ensemble des circonstances de l’espèce en ramenant le montant de cette amende à la somme de 50 000 euros.

Sur l’injonction prononcée par la délibération attaquée :

15. Il résulte de l’instruction que, postérieurement à la notification à la société Tagadamedia du rapport notifiant les griefs sur lesquels la formation restreinte était appelée à se prononcer, la société a exprimé son intention de mettre en place un nouveau modèle de formulaire de recueil du consentement, dans lesquels, sous les champs permettant aux personnes concernées d’insérer leurs coordonnées, étaient situés deux boutons d’apparence identique, intitulés respectivement « j’accepte » et « étape suivante », au-dessus desquels un texte écrit en caractères de taille nettement inférieure à celle utilisée pour les deux boutons, précisait qu’en cliquant sur le bouton « j’accepte », l’utilisateur acceptait que les données collectées soient utilisées pour lui envoyer des offres des partenaires de la société. En cliquant sur le bouton « étape suivante », l’utilisateur poursuivait son inscription au jeu-concours sans recevoir les offres des partenaires.

16. Ce formulaire subordonnait le consentement, par les personnes concernées, à la transmission de leurs données à caractère personnel en vue d’un traitement à des fins de prospection commerciale à un acte positif de leur part. Il fournissait les explications sur les conséquences des deux options proposées par les deux boutons, qui étaient de taille, police et couleur identiques. Toutefois, en relevant que l’intitulé de ces deux boutons laissait penser à l’utilisateur qu’ils exprimaient les deux étapes successives du parcours d’inscription et non le choix entre le consentement à la transmission de ses données personnelles et le refus de ce consentement, sans que le texte figurant au-dessus des deux boutons ne permette de lever l’ambigüité, compte tenu de son apparence générale et de la petite taille de ses caractères, pour en déduire que ce troisième formulaire, compte tenu de son caractère équivoque, ne répondait pas aux exigences du RGPD sur le recueil du consentement et, par voie de conséquence, enjoindre sous astreinte à la société Tagadamedia de mettre en œuvre sur les sites qu’elle édite un formulaire conforme à ces exigences, la formation restreinte de la CNIL n’a pas commis d’erreur d’appréciation. Par suite, la société requérante n’est pas fondée à demander l’annulation de la délibération litigieuse en tant qu’elle a formulé cette injonction.

Sur la publication de la sanction :

17. La présente décision, qui réforme le montant d’une sanction prononcée par la délibération attaquée, publiée sur le site internet de la CNIL et sur le site Légifrance, implique que la CNIL en assure la publication selon les mêmes modalités que celles qu’elle avait retenues pour sa délibération.

Sur les conclusions au titre de l’article L. 761-1 du code de justice administrative :

18. Il y a lieu de mettre à la charge de la CNIL la somme de 2 000 euros à verser à la société Tagadamedia au titre des dispositions de l’article L. 761-1 du code de justice administrative.

D E C I D E :

--------------

Article 1er : Le montant de l’amende administrative prononcée à l’encontre de la société Tagadamedia par la délibération de la formation restreinte de la CNIL du 29 décembre 2023 est ramené à 50 000 euros.

Article 2 : La délibération de la formation restreinte de la CNIL du 29 décembre 2023 est réformée en ce qu’elle a de contraire à la présente décision.

Article 3 : La présente décision sera publiée sur le site internet de la CNIL et sur le site Légifrance dans les mêmes conditions que la délibération ainsi réformée.

Article 4 : La CNIL versera à la société Tagadamedia la somme de 2 000 euros en application des dispositions de l’article L. 761-1 du code de justice administrative.

Article 5 : Le surplus des conclusions de la requête est rejeté.

Article 6 : La présente décision sera notifiée à la société Tagadamedia et à la Commission nationale de l’informatique et des libertés.