L'article 4, point 1, du RGPD doit être interprété en ce sens qu'une chaîne composée d'une combinaison de lettres et de caractères, telle que la TC String (Transparency and Consent String), contenant les préférences d'un utilisateur d'Internet ou d'une application relatives au consentement de cet utilisateur au traitement des données à caractère personnel le concernant par des fournisseurs de sites Internet ou d'applications ainsi que par des courtiers de telles données et par des plateformes publicitaires, constitue une donnée à caractère personnel au sens de cette disposition dans la mesure où, lorsque celle‑ci peut, par des moyens raisonnables, être associée à un identifiant, tels que notamment l'adresse IP de l'appareil dudit utilisateur, elle permet d'identifier la personne concernée. Dans de telles conditions, la circonstance que, sans une contribution extérieure, une organisation sectorielle détenant cette chaîne ne puisse ni accéder aux données qui sont traitées par ses membres dans le cadre des règles qu'elle a établies ni combiner ladite chaîne avec d'autres éléments ne fait pas obstacle à ce que la même chaîne constitue une donnée à caractère personnel au sens de ladite disposition.

L'article 6, paragraphe 1, premier alinéa, sous f), du RGPD, lu en combinaison avec l'article 15, paragraphe 1, de la directive 2002/58/CE du Parlement européen et du Conseil, du 12 juillet 2002 (directive vie privée et communications électroniques), doit être interprété en ce sens qu'il ne s'oppose, en principe, ni à l’enregistrement systématique, par le titulaire de droits de propriété intellectuelle ainsi que par un tiers pour son compte, d'adresses IP d'utilisateurs de réseaux de pair à pair (peer‑to‑peer) dont les connexions internet ont été prétendument utilisées dans des activités contrefaisantes ni à la communication des noms et des adresses postales de ces utilisateurs à ce titulaire ou à un tiers afin de lui permettre d'introduire un recours en indemnisation devant une juridiction civile pour un dommage prétendument causé par lesdits utilisateurs, à condition toutefois que les initiatives et les demandes en ce sens dudit titulaire ou d'un tel tiers soient justifiées, proportionnées et non abusives et trouvent leur fondement juridique dans une mesure législative nationale, au sens de l'article 15, paragraphe 1, de la directive 2002/58, qui limite la portée des règles énoncées aux articles 5 et 6 de cette directive.

Les résultats d'un sondage comportant des questions qui demandent aux personnes interrogées ce qu'elles pensent d'une personnalité ne constituent pas des informations nominatives concernant cette personnalité. Celle-ci ne saurait, par suite, être titulaire d’un droit d'accès organisé par l'article 34 de la loi du 6 janvier 1978, ni des droits de communication, de rectification et d'effacement qui en découlent.

L'opération consistant à faire Référence, sur une page Internet, à diverses personnes, à les identifier soit par leur nom, soit par d’autres moyens (numéro de téléphone ou informations relatives à leurs conditions de travail et aux loisirs) constitue un « traitement de données à caractère personnel, automatisé en tout ou en partie » au sens de la directive 95/46.

1) Il résulte du 11 de l'article 4 et des articles 6 et 7 du RGPD, tels qu'interprétés par la Cour de justice de l'Union européenne dans son arrêt C‑673/17 du 1er octobre 2019 que le consentement libre, spécifique, éclairé ne peut être un consentement exprès de l'utilisateur, donné en toute connaissance de cause et après une information adéquate sur l'usage qui sera fait de ses données personnelles.

a) Un consentement donné au moyen d'une case cochée par défaut n'implique pas un comportement actif de la part de l'utilisateur et ne peut dès lors être considéré comme procédant d'un acte positif clair permettant valablement le recueil du consentement.

b) En outre, un consentement recueilli dans le cadre de l'acceptation globale de conditions générales d'utilisation d'un service ne revêt pas un caractère spécifique au sens du RGPD.

c) Enfin, indépendamment des modalités dans lesquelles il est recueilli, le consentement n'est valide que s'il est précédé d'une présentation claire et distincte de l'ensemble des finalités poursuivies par le traitement.

1) Il résulte clairement des articles 12 et 13 du règlement (UE) n° 2016/679 du 27 avril 2016 (RGPD) que l'information fournie aux utilisateurs doit les mettre en mesure de déterminer à l'avance la portée et les conséquences du traitement afin d'éviter qu'ils soient pris au dépourvu quant à la façon dont leurs données à caractère personnel sont destinées à être utilisées. Si les exigences de concision, d'intelligibilité, de clarté et de simplicité de l'information posées par le RGPD justifient que celle‑ci ne soit pas excessivement détaillée afin de ne pas décourager l'utilisateur d'en prendre connaissance, tous les éléments pertinents relatifs aux différentes finalités et à l'ampleur du traitement doivent lui être aisément accessibles.

2) Il résulte des articles 4, 6 et 7 du RGPD, tels qu'interprétés par la Cour de justice de l'Union européenne dans son arrêt C‑673/17 du 1er octobre 2019, que le consentement libre, spécifique, éclairé et univoque ne peut être qu'un consentement exprès de l'utilisateur, donné en toute connaissance de cause et après une information adéquate sur l'usage qui sera fait de ses données personnelles.

c) Indépendamment des modalités dans lesquelles il est recueilli, le consentement n'est valide que s'il est précédé d'une présentation claire et distincte de l'ensemble des finalités poursuivies par le traitement.

En l'espèce, l'arborescence choisie par Google apparaît de nature, par l'éparpillement de l'information qu'elle organise, à nuire à la accessibilité et à la clarté de celle‑ci pour les utilisateurs, alors même que les traitements en cause sont particulièrement intrusifs eu égard au nombre et à la nature des données collectées.

En application de l’article 32 du RGPD, il appartient au responsable de traitement d’assurer la sécurité des traitements de données à caractère personnel qu’il effectue. À ce titre, le responsable de traitement doit veiller à la confidentialité des données qu’il traite en prenant des mesures raisonnables pour éviter leur divulgation ou communication à des tiers qui n’ont pas à en connaître. En particulier, s’agissant de l’envoi d’un courriel à un ensemble de destinataires, le responsable de traitement doit s’interroger sur le point de savoir si chaque personne à qui le courriel est adressé peut ou non avoir connaissance de l’ensemble des destinataires. Pour porter cette appréciation, qui doit être faite en fonction des circonstances de l’envoi – notamment l’objet du courriel ainsi que le nombre et la qualité des destinataires –, il y a lieu de tenir compte du fait que la communication en « copie carbone » (Cc) entraînera aussi la divulgation à des tiers de l’adresse électronique de chacun des destinataires. Lorsqu’il apparaît que le nom ou l’adresse électronique des destinataires ne doivent pas être visibles par tous, l’expéditeur du message est tenu d’utiliser la fonction « copie carbone invisible » (Cci). Dans certains cas, il peut être approprié de mettre un destinataire en Cci tout en indiquant dans le corps du courriel à quelles personnes il a été envoyé, s’il est pertinent que les destinataires aient cette information.

Dans le cadre d’un décret précis concernant les modalités et les conditions de recevabilité de la saisine d’une institution par voie de pétition, ainsi que définissant les règles relatives à l’accès aux informations collectées, la mise en place d'un journalisation permettant de conserver une trace des opérations de consultation, création et modification des données est indispensable, conformément à la délibération de la CNIL n° 2021‑122 du 14 octobre 2021 portant adoption d’une recommandation relative à la journaux.

La publication du nom de l'ensemble des bénéficiaires des aides de la Politique Agricole Commune (PAC) et du montant perçu constitue une ingérence excessive dans la vie privée. Il est possible, en revanche, une publication limitée en fonction de la durée, de la fréquence et de l'importance des aides perçues – par exemple, une publication de la liste des principaux bénéficiaires de la PAC.

La mention, dans un registre accessible au public, des noms du constituant, des bénéficiaires et de l’administrateur d'un trust fournit des informations sur la manière dont une personne entend disposer de son patrimoine. Il en résulte une atteinte au droit au respect de la vie privée. Or, le législateur, qui n'a pas précisé la qualité ni les motifs justifiant la consultation du registre, n'a pas limité le cercle des personnes ayant accès aux données de ce registre, placé sous la responsabilité de l'administration fiscale. Dès lors, les dispositions contestées portent au droit au respect de la vie privée une atteinte manifestement disproportionnée au regard de l'objectif poursuivi.

L'obligation de rendre publics, sur un site internet public unique, l'objet précis, la date, l'identité du bénéficiaire direct, l'identité du bénéficiaire final, le montant, y compris les rémunérations et les avantages en nature ou en espèces, des conventions conclues par les entreprises produisant ou commercialisant des produits à finalité sanitaire destinés à l'homme ou assurant des prestations associées à ces produits avec les autres acteurs du secteur de la santé porte atteinte au données à caractère personnel. Cette publication est destinée à garantir l'exhaustivité des informations relatives à l'existence et à la nature des liens d'intérêt entre les professionnels de santé et ces entreprises. Cette atteinte est justifiée par l'exigence constitutionnelle de protection de la santé et par l'objectif d'intérêt général de prévention des conflits d'intérêts. Eu égard aux exigences particulières qui pèsent sur les acteurs du secteur de la santé et à la gravité des conséquences des conflits d'intérêts dans ce secteur, le législateur a opéré une conciliation qui n'est pas manifestement déséquilibrée entre les principes constitutionnels en cause. Par suite, le grief tiré de la méconnaissance du droit au respect de la vie privée doit être écarté.

Méconnaît l'exigence d'indépendance prévue à l'article 28, paragraphe 1, second alinéa, de la directive 95/46 un régime institutionnel où sont soumises à une tutelle administrative de l'État ou Länder les autorités de contrôle compétentes pour la surveillance du traitement des données à caractère personnel, quelles que soient les modalités d'exercice de ladite tutelle, dès lors qu'elle permet en principe au gouvernement du Land concerné ou à un organe de l'administration soumise à ce gouvernement d'influer directement ou indirectement sur les décisions des autorités de contrôle ou, le cas échéant, d'annuler et de remplacer ces décisions.

Les dispositions du dernier alinéa du paragraphe I de l'article L. 612-3 du code de l'éducation ne sauraient, sans méconnaître le droit d'accès aux documents administratifs garanti par l'article 15 de la Déclaration de 1789, être interprétées comme dispensant chaque établissement d'enseignement supérieur de publier, à l'issue de la procédure nationale de préinscription à l'entrée en premier cycle et dans le respect de la vie privée des candidats, le cas échéant sous la forme d'un rapport, les critères d'examen des candidatures en fonction desquels les candidatures ont été examinées et précisant, le cas échéant, dans quelle mesure traitements algorithmiques ont été utilisés pour procéder à cet examen.

L'article R. 221‑15‑8 du code de l'action sociale et des familles, créé par le décret attaqué, dispose que, préalablement à la collecte de ses données, la personne se déclarant mineure et privée temporairement ou définitivement de la protection de sa famille est informée de la nature des données et informations collectées ainsi que des conséquences d'un refus de les communiquer ou d'une évaluation concluant à sa majorité. Elle reçoit également des informations relatives à la protection des données personnelles. Cette information est assurée par un formulaire dédié, rédigé dans une langue qu'elle comprend ou dont il est raisonnable de supposer qu’elle la comprend. À défaut, notamment lorsque l'intéressé ne sait pas lire, l'information est donnée sous forme orale. Le décret attaqué a ainsi prévu une information effective et adaptée des personnes sollicitant une protection en qualité de mineur, qui doit en outre satisfaire, sans que le pouvoir réglementaire ait eu à le rappeler, à l'exigence de clarté prévue par l'article 12 du RGPD.

L’information fournie au moyen d’une politique de confidentialité disponible uniquement en anglais, relative à des traitements de données ciblant majoritairement un public francophone, ne permet pas aux personnes concernées d’apprécier à l’avance la portée et les conséquences des traitements et n’est par conséquent pas conforme aux exigences de transparence de l’information posées par l’article 12 du RGPD. Il en va de même du renvoi opéré vers une politique de confidentialité uniquement en anglais depuis un formulaire de création de compte.

Un courrier de prospection commerciale doit être suffisamment précis dans l'indication de la source des données dont proviennent les prospects, cette information étant de nature à garantir un traitement équitable et transparent à son égard, en particulier dans un contexte de reventes successives de données entre multiples acteurs et dans l'hypothèse où le prospect souhaiterait exercer ses droits auprès du courtier en données dont il ignore l'identité. La seule mention que les données ont été collectées auprès d'un « organisme spécialisé dans l'enrichissement de données » n'est pas suffisamment précise et est susceptible de caractériser un manquement à l'information des personnes, au sens de l'article 14 du RGPD.

Dans la symbolique couramment utilisée en informatique, le fait de cliquer sur « X » en haut à droite de la dernière fenêtre visible d’une application permet généralement de la quitter. En l’espèce, le fait de cliquer sur « X » ne fait en réalité que mettre l’application en arrière‑plan et non la quitter. Eu égard au fait que des données à caractère personnel de l’utilisateur peuvent être communiquées à des tiers sans qu’il en ait nécessairement conscience, soit l’utilisateur doit se voir délivrer une information spécifique sur ce point, soit le comportement de réduction en arrière‑plan ne doit pas être activé par défaut et c’est à l’utilisateur de le paramétrer manuellement. Tout autre fonctionnement ne saurait correspondre aux attentes de l'utilisateur.

L’information aux personnes concernées ne figurant pas sur un support distinct des mentions légales et conditions générales, mais étant uniquement accessible via des liens intitulés « Conditions générales » ou « Mentions légales », insérés au pied de formulaires de collecte des données à caractère personnel mis en ligne sur un site internet, ne permet pas à l’utilisateur de bénéficier d’une information suffisamment claire et accessible sur le traitement de ses données.

Une telle modalité de délivrance de l'information aux personnes concernées ne répond pas aux exigences de transparence et d'accessibilité prévues par le RGPD.

1) Le traitement de données à caractère personnel mis en œuvre par l’administration fiscale aux fins d'obtenir l'autorisation de procéder à des opérations de visite et saisies sur le fondement de l'article L. 16‑B du livre des procédures fiscales, qui a pour finalité d'obtenir le droit de procéder à une mesure d'enquête pouvant donner lieu à la constatation d'une infraction ou d'un manquement à la législation fiscale, dans le but de percevoir l'impôt et de lutter contre la fraude fiscale, entre dans le champ d'application matériel du RGPD.

2) Dès lors, le juge doit notamment vérifier si, dans le litige qui lui est soumis, le responsable du traitement est tenu de fournir à la personne concernée les informations prévues à son article 14 ou s'il sont réunies les conditions des exceptions ou limitations à cette obligation d'information qu'il prévoit. En effet, si l'article 14 du RGPD soumet le responsable du traitement à l'obligation de fournir un certain nombre d'informations à la personne concernée lorsque les données à caractère personnel n'ont pas été collectées auprès d'elle, il résulte du paragraphe 5 de ce texte que cette obligation ne s'applique pas dans la mesure où elle est susceptible de rendre impossible ou de compromettre gravement la réalisation des objectifs dudit traitement.

3) En outre, l'article 23 du RGPD prévoit que le droit de l'État membre auquel le responsable du traitement est soumis peut, par la voie de mesures législatives, limiter la portée de l'obligation d'informer la personne concernée par le traitement de données à caractère personnel prévue à l'article 14 du RGPD lorsqu'une telle limitation respecte l'essence des libertés et droits fondamentaux et qu'elle constitue une mesure nécessaire et proportionnée dans une société démocratique pour garantir la prévention et la détection d'infractions pénales, les enquêtes et les poursuites en matière et d'autres objectifs importants d'intérêt public général d'un État membre, notamment un intérêt économique ou financier important, y compris dans les domaines monétaire, budgétaire et fiscal.

Ainsi, l’administration fiscale n'a pas l'obligation de fournir à la personne concernée les informations prévues à l'article 14 de ce règlement si sont réunies les conditions de l'exception prévue au paragraphe 5 de ce texte ou des limitations prévues à l'article 23.

1) L'article 17, paragraphe 3, sous a), du RGPD doit être interprété en ce sens que dans le cadre de la mise en balance qu'il convient d'opérer entre les droits visés aux articles 7 et 8 de la Charte des droits fondamentaux de l'Union européenne, d'une part, et ceux visés à l'article 11 de la Charte des droits fondamentaux, d'autre part, aux fins de l'examen d'une demande de déréférencement adressée à l'exploitant d'un moteur de recherche et tendant à ce que soit supprimé de la liste de résultats d'une recherche le lien menant vers un contenu contenant des allégations que la personne ayant introduit la demande estime inexactes, ce déréférencement n'est pas soumis à la condition que la question de l'exactitude du contenu référencé ait été résolue, au moins à titre provisoire, dans le cadre d'un recours intenté par cette personne contre le fournisseur de contenu.

2) L'article 17, paragraphe 3, sous a), du RGPD doit être interprété en ce sens que dans le cadre de la mise en balance qu'il convient d'opérer entre les droits visés aux articles 7 et 8 de la Charte des droits fondamentaux, d'une part, et ceux visés à l'article 11 de la Charte des droits fondamentaux, d'autre part, aux fins de l'examen d'une demande de déréférencement adressée à l'exploitant d'un moteur de recherche et tendant à ce que soient supprimées des résultats d'une recherche d'images effectuée à partir du nom d'une personne physique les photographies affichées sous la forme de vignettes qui représentent cette personne, il y a lieu de tenir compte de la valeur informative de ces photographies indépendamment du contexte de leur publication sur la page internet d'où elles sont extraites, mais en prenant en considération tout élément textuel qui accompagne directement l'affichage de ces photographies dans les résultats de recherche et qui est susceptible d'apporter un éclairage sur la valeur informative de celles-ci.