L'article 6, paragraphe 1, premier alinéa, sous f), du RGPD, lu en combinaison avec l'article 15, paragraphe 1, de la directive 2002/58/CE du Parlement européen et du Conseil, du 12 juillet 2002 (directive vie privée et communications électroniques), doit être interprété en ce sens qu'il ne s'oppose, en principe, ni à l’enregistrement systématique, par le titulaire de droits de propriété intellectuelle ainsi que par un tiers pour son compte, d'adresses IP d'utilisateurs de réseaux de pair à pair (peer‑to‑peer) dont les connexions internet ont été prétendument utilisées dans des activités contrefaisantes ni à la communication des noms et des adresses postales de ces utilisateurs à ce titulaire ou à un tiers afin de lui permettre d'introduire un recours en indemnisation devant une juridiction civile pour un dommage prétendument causé par lesdits utilisateurs, à condition toutefois que les initiatives et les demandes en ce sens dudit titulaire ou d'un tel tiers soient justifiées, proportionnées et non abusives et trouvent leur fondement juridique dans une mesure législative nationale, au sens de l'article 15, paragraphe 1, de la directive 2002/58, qui limite la portée des règles énoncées aux articles 5 et 6 de cette directive.

Les résultats d’un sondage portant sur une personne, qui représentent l’état statistique, à un moment donné, de l’opinion de la population sur celle‑ci, ne constituent pas une information nominative au sens de l’article 4 de la loi du 6 janvier 1978 dite « Informatique et Libertés ». Il s’en déduit que, dès lors que les résultats ne lui sont pas opposés, cette personne ne saurait bénéficier du droit d’accès et des prérogatives qui en découlent, prévus par les articles 34 et suivants de ladite loi, ni exiger la communication du nom du commanditaire de l’opération.

Les résultats d'un sondage comportant des questions qui demandent aux personnes interrogées ce qu'elles pensent d'une personnalité ne constituent pas des informations nominatives concernant cette personnalité. Celle-ci ne saurait, par suite, être titulaire d’un droit d'accès organisé par l'article 34 de la loi du 6 janvier 1978, ni des droits de communication, de rectification et d'effacement qui en découlent.

Les données relatives au choix d'un abonné d'un service de télévision pour recevoir certains programmes définis comme « œuvres cinématographiques interdites aux mineurs de moins de dix‑huit ans ainsi que les programmes pornographiques ou de très grande violence, réservés à un public adulte averti et susceptibles de nuire à l'épanouissement physique, mental ou moral des mineurs de moins de dix‑huit ans » ne peuvent être regardées comme étant relatives à la vie sexuelle des personnes concernées ou comme étant de nature à faire apparaître, même indirectement, leurs mœurs au sens des dispositions de la loi n°78‑17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés.

L'opération consistant à faire Référence, sur une page Internet, à diverses personnes, à les identifier soit par leur nom, soit par d’autres moyens (numéro de téléphone ou informations relatives à leurs conditions de travail et aux loisirs) constitue un « traitement de données à caractère personnel, automatisé en tout ou en partie » au sens de la directive 95/46.

Cas d'une filiale d'une société X qui exerce son activité sous la marque X.

Afin de déterminer si cette filiale doit être regardée comme le responsable de traitement, et non la société X, plusieurs éléments sont pris en compte : l'exploitation par ses propres soins des fichiers pour l'exercice de sa propre activité commerciale ; la détermination effective du champ des données renseignées ; l'indication au cours de la procédure devant la CNIL de la volonté de renoncer à la collecte de différentes données ou encore.

Sont sans incidence d'une part, l'indication, sous le timbre de la société X, qu'après la sanction, des instructions correctives ont été données dans la circonstance que d'autres filiales ou franchises utilisent lesdites données ; et d'autre part, l'indication au juge d'avoir accompli les nécessaires à la régularisation de l'exploitation des fichiers au regard des dispositions de la loi.

ème ème

Dans le cadre de rapports employeur/employés, le fait d'effectuer des recherches sur des personnes portant sur données à caractère personnel telles qu'antécédents judiciaires, renseignements bancaires et téléphoniques, véhicules, propriétés, qualité de locataire ou de propriétaire, situation matrimoniale, santé, déplacement à l'étranger est susceptible de constituer un moyen déloyal dès lors que, issues de la capture et du recoupement d'informations diffusées sur des sites publics tels que sites web, annuaires, forums de discussion, réseaux sociaux, sites de presse régionale, ces données ont fait l'objet d'une utilisation sans rapport avec l'objet de leur mise en ligne et ont été recueillies à l'insu des personnes concernées, ainsi privées du droit d'opposition institué par la loi informatique et libertés. En effet, le fait que les données à caractère personnel collectées en l'espèce par le prévenu aient été pour partie en accès libre sur internet ne retire rien au caractère déloyal de cette collecte, dès lors qu'une telle collecte, de surcroît réalisée à des fins dévoyées de profilage des personnes concernées et d'investigation dans leur vie privée, à l'insu de celles-ci, ne pouvait s'effectuer sans qu'elles en soient informées.

1) L’article 5, paragraphe 3, de la directive 2002/58 doit être interprété en ce sens que les informations que le fournisseur de services doit donner à l’utilisateur d’un site internet incluent la durée de fonctionnement des cookies ainsi que la possibilité ou non pour des tiers d’avoir accès aux cookies.

L’article 10 de la directive 95/46, à laquelle fait référence l’article 5, paragraphe 3, de la directive 2002/58, ainsi que l’article 13 du RGPD énoncent les informations que le responsable du traitement doit fournir à la personne auprès de laquelle il collecte des données la concernant. Ces informations comprennent notamment, en vertu de l’article 10 de la directive, outre l’identité du responsable du traitement et les finalités du traitement auquel les données sont destinées, toute information supplémentaire telle que les destinataires ou les catégories de destinataires des données, dans la mesure où, compte tenu des circonstances particulières dans lesquelles les données sont collectées, ces informations supplémentaires sont nécessaires pour assurer à l’égard de la personne concernée un traitement loyal des données.

2) Si la durée du traitement des données ne figure pas parmi ces informations, il ressort toutefois de l’expression « au moins » figurant à l’article 10 de la directive 95/46 que celles‑ci ne sont pas énumérées de manière exhaustive. Or, la durée de fonctionnement des cookies doit être considérée comme répondant à l’exigence d’un traitement loyal des données prévue par ledit article, en ce que, dans une situation telle que celle en cause au principal, une durée longue, voire illimitée, implique la collecte de nombreuses informations sur les habitudes de navigation et la fréquence des visites éventuelles de l’utilisateur sur les sites des partenaires publicitaires de l’organisateur du jeu promotionnel.

Cette interprétation est corroborée par l’article 13, paragraphe 2, sous a), du règlement 2016/679, qui prévoit que le responsable du traitement doit fournir à la personne concernée, pour garantir un traitement équitable et transparent, une information portant, notamment, sur la durée de conservation des données à caractère personnel ou, lorsque ce n’est pas possible, les critères utilisés pour déterminer cette durée.

Quant à la possibilité ou non pour des tiers d’avoir accès aux cookies, il s’agit d’une information comprise dans les informations mentionnées à l’article 10, sous c), de la directive 95/46, ainsi qu’à l’article 13, paragraphe 1, sous e), du règlement 2016/679, dès lors que ces dispositions mentionnent explicitement les destinataires ou les catégories de destinataires des données.

1) Il résulte clairement des articles 12 et 13 du règlement (UE) n° 2016/679 du 27 avril 2016 (RGPD) que l'information fournie aux utilisateurs doit les mettre en mesure de déterminer à l'avance la portée et les conséquences du traitement afin d'éviter qu'ils soient pris au dépourvu quant à la façon dont leurs données à caractère personnel sont destinées à être utilisées. Si les exigences de concision, d'intelligibilité, de clarté et de simplicité de l'information posées par le RGPD justifient que celle‑ci ne soit pas excessivement détaillée afin de ne pas décourager l'utilisateur d'en prendre connaissance, tous les éléments pertinents relatifs aux différentes finalités et à l'ampleur du traitement doivent lui être aisément accessibles.

2) Il résulte des articles 4, 6 et 7 du RGPD, tels qu'interprétés par la Cour de justice de l'Union européenne dans son arrêt C‑673/17 du 1er octobre 2019, que le consentement libre, spécifique, éclairé et univoque ne peut être qu'un consentement exprès de l'utilisateur, donné en toute connaissance de cause et après une information adéquate sur l'usage qui sera fait de ses données personnelles.

c) Indépendamment des modalités dans lesquelles il est recueilli, le consentement n'est valide que s'il est précédé d'une présentation claire et distincte de l'ensemble des finalités poursuivies par le traitement.

En l'espèce, l'arborescence choisie par Google apparaît de nature, par l'éparpillement de l'information qu'elle organise, à nuire à la accessibilité et à la clarté de celle‑ci pour les utilisateurs, alors même que les traitements en cause sont particulièrement intrusifs eu égard au nombre et à la nature des données collectées.

En application de l’article 32 du RGPD, il appartient au responsable de traitement d’assurer la sécurité des traitements de données à caractère personnel qu’il effectue. À ce titre, le responsable de traitement doit veiller à la confidentialité des données qu’il traite en prenant des mesures raisonnables pour éviter leur divulgation ou communication à des tiers qui n’ont pas à en connaître. En particulier, s’agissant de l’envoi d’un courriel à un ensemble de destinataires, le responsable de traitement doit s’interroger sur le point de savoir si chaque personne à qui le courriel est adressé peut ou non avoir connaissance de l’ensemble des destinataires. Pour porter cette appréciation, qui doit être faite en fonction des circonstances de l’envoi – notamment l’objet du courriel ainsi que le nombre et la qualité des destinataires –, il y a lieu de tenir compte du fait que la communication en « copie carbone » (Cc) entraînera aussi la divulgation à des tiers de l’adresse électronique de chacun des destinataires. Lorsqu’il apparaît que le nom ou l’adresse électronique des destinataires ne doivent pas être visibles par tous, l’expéditeur du message est tenu d’utiliser la fonction « copie carbone invisible » (Cci). Dans certains cas, il peut être approprié de mettre un destinataire en Cci tout en indiquant dans le corps du courriel à quelles personnes il a été envoyé, s’il est pertinent que les destinataires aient cette information.

Le requérant a tenté de mettre fin à ses jours en se tailladant les poignets, sans savoir qu'une caméra de surveillance avait filmé toute la scène. Après le sauvetage du requérant par la police, avertie par l'opérateur qui regardait les caméras de surveillance, la séquence a été diffusion dans les médias, sans masquer le visage du requérant.

La Cour EDH estime que la divulgation de la séquence litigieuse constitue une ingérence grave dans le droit du requérant au respect de sa vie privée. Sa diffusion dans plusieurs médias, à l'échelle à la fois locale et nationale, excède largement ce qu'un passant aurait pu voir ou ce qui aurait été observé à des fins de sécurité.

La Cour considère que la divulgation avait bien une base légale et poursuivait des buts légitimes que constituent la sûreté publique, la défense de l'ordre, la prévention des infractions pénales et la protection des droits d'autrui.

Cependant, eu égard aux circonstances de l'espèce, la Cour estime qu'il n'y avait pas de raisons pertinentes et suffisantes propres à justifier que la divulgation directement au public, d'une part, de photographies tirées de la séquence, sans avoir au préalable obtenu le consentement du requérant ou caché son identité, et d'autre part, d'images aux médias sans avoir pris des mesures pour s'assurer autant que possible qu'un tel masquage serait effectué par eux. L'objectif que constitue la prévention de la criminalité et le contexte de la divulgation exigeaient en l'espèce une vigilance et un contrôle particuliers sur ces points.

L'obligation de rendre publics, sur un site internet public unique, l'objet précis, la date, l'identité du bénéficiaire direct, l'identité du bénéficiaire final, le montant, y compris les rémunérations et les avantages en nature ou en espèces, des conventions conclues par les entreprises produisant ou commercialisant des produits à finalité sanitaire destinés à l'homme ou assurant des prestations associées à ces produits avec les autres acteurs du secteur de la santé porte atteinte au données à caractère personnel. Cette publication est destinée à garantir l'exhaustivité des informations relatives à l'existence et à la nature des liens d'intérêt entre les professionnels de santé et ces entreprises. Cette atteinte est justifiée par l'exigence constitutionnelle de protection de la santé et par l'objectif d'intérêt général de prévention des conflits d'intérêts. Eu égard aux exigences particulières qui pèsent sur les acteurs du secteur de la santé et à la gravité des conséquences des conflits d'intérêts dans ce secteur, le législateur a opéré une conciliation qui n'est pas manifestement déséquilibrée entre les principes constitutionnels en cause. Par suite, le grief tiré de la méconnaissance du droit au respect de la vie privée doit être écarté.

Méconnaît l'exigence d'indépendance prévue à l'article 28, paragraphe 1, second alinéa, de la directive 95/46 un régime institutionnel où : le membre administrateur de l'autorité de contrôle est un fonctionnaire fédéral assujetti à une tutelle de service; le bureau de l'autorité est intégré aux services de la chancellerie fédérale; le chancelier fédéral dispose d'un droit inconditionnel à l'information sur tous les aspects de la gestion de la Datenschutzkommission.

L'article 13, paragraphe 1, de la directive 95/46/CE du 24 octobre 1995 doit être interprété en ce sens que les États membres n'ont pas l'obligation, mais la faculté de transposer dans leur droit national une ou plusieurs des exceptions qu'il prévoit à l'obligation d'informer les personnes concernées du traitement de leurs données à caractère personnel.

Dans la symbolique couramment utilisée en informatique, le fait de cliquer sur « X » en haut à droite de la dernière fenêtre visible d’une application permet généralement de la quitter. En l’espèce, le fait de cliquer sur « X » ne fait en réalité que mettre l’application en arrière‑plan et non la quitter. Eu égard au fait que des données à caractère personnel de l’utilisateur peuvent être communiquées à des tiers sans qu’il en ait nécessairement conscience, soit l’utilisateur doit se voir délivrer une information spécifique sur ce point, soit le comportement de réduction en arrière‑plan ne doit pas être activé par défaut et c’est à l’utilisateur de le paramétrer manuellement. Tout autre fonctionnement ne saurait correspondre aux attentes de l'utilisateur.

L’information aux personnes concernées ne figurant pas sur un support distinct des mentions légales et conditions générales, mais étant uniquement accessible via des liens intitulés « Conditions générales » ou « Mentions légales », insérés au pied de formulaires de collecte des données à caractère personnel mis en ligne sur un site internet, ne permet pas à l’utilisateur de bénéficier d’une information suffisamment claire et accessible sur le traitement de ses données.

Une telle modalité de délivrance de l'information aux personnes concernées ne répond pas aux exigences de transparence et d'accessibilité prévues par le RGPD.

Les articles 10, 11 et 13 de la directive 95/46/CE du 24 octobre 1995 doivent être interprétés en ce sens qu'ils s'opposent à des mesures nationales qui permettent à une administration publique d'un État membre de transmettre des données à caractère personnel à une autre administration publique et leur traitement subséquent, sans que les personnes concernées n'aient été informées de cette transmission ou de ce traitement.

1) Le traitement de données à caractère personnel mis en œuvre par l’administration fiscale aux fins d'obtenir l'autorisation de procéder à des opérations de visite et saisies sur le fondement de l'article L. 16‑B du livre des procédures fiscales, qui a pour finalité d'obtenir le droit de procéder à une mesure d'enquête pouvant donner lieu à la constatation d'une infraction ou d'un manquement à la législation fiscale, dans le but de percevoir l'impôt et de lutter contre la fraude fiscale, entre dans le champ d'application matériel du RGPD.

2) Dès lors, le juge doit notamment vérifier si, dans le litige qui lui est soumis, le responsable du traitement est tenu de fournir à la personne concernée les informations prévues à son article 14 ou s'il sont réunies les conditions des exceptions ou limitations à cette obligation d'information qu'il prévoit. En effet, si l'article 14 du RGPD soumet le responsable du traitement à l'obligation de fournir un certain nombre d'informations à la personne concernée lorsque les données à caractère personnel n'ont pas été collectées auprès d'elle, il résulte du paragraphe 5 de ce texte que cette obligation ne s'applique pas dans la mesure où elle est susceptible de rendre impossible ou de compromettre gravement la réalisation des objectifs dudit traitement.

3) En outre, l'article 23 du RGPD prévoit que le droit de l'État membre auquel le responsable du traitement est soumis peut, par la voie de mesures législatives, limiter la portée de l'obligation d'informer la personne concernée par le traitement de données à caractère personnel prévue à l'article 14 du RGPD lorsqu'une telle limitation respecte l'essence des libertés et droits fondamentaux et qu'elle constitue une mesure nécessaire et proportionnée dans une société démocratique pour garantir la prévention et la détection d'infractions pénales, les enquêtes et les poursuites en matière et d'autres objectifs importants d'intérêt public général d'un État membre, notamment un intérêt économique ou financier important, y compris dans les domaines monétaire, budgétaire et fiscal.

Ainsi, l’administration fiscale n'a pas l'obligation de fournir à la personne concernée les informations prévues à l'article 14 de ce règlement si sont réunies les conditions de l'exception prévue au paragraphe 5 de ce texte ou des limitations prévues à l'article 23.

L'article 7, sous f), de la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995 doit être interprété en ce sens qu'il n'impose pas l'obligation de communiquer des données à caractère personnel à un tiers afin de lui permettre d'introduire un recours en indemnisation devant une juridiction civile pour un dommage causé par la personne concernée par la protection de ces données. Toutefois, l'article 7, sous f), de cette directive 95/46/CE ne s'oppose pas à une telle communication sur la base du droit national.

Il résulte du point (4) de l’introduction du RGPD que le droit à la protection des données à caractère personnel n’est pas un droit absolu et doit être considéré par rapport à sa fonction dans la société et mis en balance avec d’autres droits fondamentaux, conformément au principe de proportionnalité, notamment le droit à un recours effectif et à accéder à un tribunal impartial. Selon l’article 145 du code de procédure civile, s’il existe un motif légitime de conserver ou d’établir avant tout procès la preuve de faits dont pourrait dépendre la solution d’un litige, les mesures d’instruction légalement admissibles peuvent être ordonnées à la demande de tout intéressé. Il résulte par ailleurs des articles 6 et 8 de la Convention européenne des droits de l’homme et des libertés fondamentales, de l’article 9 du code civil et de l’article 9 du code de procédure civile que le droit à la preuve peut justifier la production d’éléments portant atteinte à la vie privée à condition que cette production soit indispensable à l’exercice de ce droit et que l’atteinte soit proportionnée au but poursuivi. Il faut donc approuver l’arrêt qui ordonne à l’employeur de communiquer à une salariée les bulletins de salaire d’autres salariés occupant des postes de niveau comparable au sien, avec occultation des données personnelles à l’exception des noms et prénoms, de la classification conventionnelle et de la rémunération, après avoir relevé que cette communication d’éléments portant atteinte à la vie privée d’autres salariés était indispensable à l’exercice du droit à la preuve et proportionnée au but poursuivi, soit la défense de l’intérêt légitime de la salariée à l’égalité de traitement entre hommes et femmes en matière d’emploi et de travail.