Dlibration de la formation restreinte n2011-203 du 21 septembre 2011 portant avertissement lencontre de la socit Pages Jaunes

La Commission nationale de linformatique et des liberts, runie en sa formation restreinte sous la prsidence de Mme Claire DAVAL ; Etant aussi prsents MM. Jean-Marie COTTERET, Claude DOMEIZEL et Sbastien HUYGHE, membres ; Vu la Convention n108 du Conseil de lEurope du 28 janvier 1981 pour la protection des personnes lgard du traitement automatis des donnes caractre personnel ; Vu la loi n 78-17 du 6 janvier 1978 relative l'informatique, aux fichiers et aux liberts, modifie par la loi n 2011-334 du 29 mars 2011, notamment ses articles 45 et 46 ; Vu le dcret n 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n 78-17 du 6 janvier 1978 relative l'informatique, aux fichiers et aux liberts, modifi par le dcret n 2007-451 du 25 mars 2007 ; Vu la dlibration n 2006-147 du 23 mai 2006 fixant le rglement intrieur de la Commission nationale de linformatique et des liberts ; Vu le rapport de M. Bernard PEYRAT, commissaire rapporteur, notifi par porteur la socit PAGES JAUNES, le 6 mai 2011 ; Vu les observations en rponse apportes par la socit PAGES JAUNES par Matre Merav GRIGUER, son conseil, par lettre en date du 1er avril 2011, ainsi que le courrier complmentaire adress en vue de la sance de la formation restreinte du 5 juillet 2011 ; Vu les autres pices du dossier ; Aprs avoir entendu, lors de sa runion du 5 juillet 2011 : M. Bernard PEYRAT, commissaire, en son rapport ; Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations ; Matres Etienne PAPIN et Merav GRIGUER, conseils de la socit PAGES JAUNES, en la prsence de Monsieur Dominique PAOLI, secrtaire gnral, et Mme MarieBlanche NIEL, responsable juridique du groupe Pages Jaunes,

Les reprsentants de la socit mise en cause ayant pris la parole en dernier, A adopt la dcision suivante : I. FAITS ET PROCEDURE

La socit PAGES JAUNES (ci-aprs la socit ) appartient au groupe PAGES JAUNES qui dite notamment la version papier de lannuaire universel, ainsi quun annuaire en ligne associ au portail internet dinformations locales www.pagesjaunes.fr . La socit propose galement le service Pages Blanches , qui diffuse les informations figurant dans lannuaire tlphonique des particuliers, disponible ladresse Web suivante : http://www.pagesjaunes.fr/pagesblanches . Le 25 mars et le 12 avril 2010, la CNIL a t alerte par deux plaintes concernant la fonctionnalit dite de webcrawl du service Pages Blanches offert par la socit. Cette fonctionnalit, que la socit a annonc avoir suspendue depuis le 21 mars dans lattente de la dcision de la formation restreinte de la Commission, permet dajouter aux rsultats de recherche obtenus sur une personne dtermine les donnes caractre personnel collectes sur les sites COPAINS DAVANT, FACEBOOK, VIADEO, LINKEDIN, TWITTER, TROMBI. Les profils communautaires de toutes les personnes portant le mme nom patronymique que celui recherch sur le site Pages Jaunes apparaissent ainsi sur la page de rsultats. Ainsi, cette fonctionnalit fait figurer, partir dune recherche sur un seul nom patronymique, les donnes classiques de lannuaire (identit, coordonnes tlphoniques et adresse postale) ainsi quune photographie, une vue arienne et un plan daccs du lieu dhabitation, mais encore les donnes concernant la personne, issues des rseaux sociaux : nom, prnom, photographie, pseudonymes, tablissements scolaires, employeurs, profession, localisation, etc. Un tri est en outre possible partir des donnes de lemployeur, de ltablissement scolaire et de la localisation des personnes, dans une rubrique Affiner par mots-cls . Sur la base des plaintes susmentionnes, qui rvlaient labsence de prise en compte de demandes dopposition formes par deux particuliers afin que les informations les concernant, issues des rseaux communautaires, ne soient plus diffuses sur le service Pages Blanches , le Prsident de la CNIL a ordonn une mission de contrle sur place auprs du sige social de la socit SEVRES (92), le 27 mai 2010, puis dans les locaux de son tablissement secondaire, RENNES (35), le 1er juin 2010 (dcision n2010-137C du 20 mai 2010). Lors de ce contrle, la dlgation de la CNIL a examin : - le traitement de donnes caractre personnel relatif la publication de profils communautaires dans le cadre du service Pages Blanches ; - le traitement de donnes ralis loccasion des requtes effectues sur le portail Pages Jaunes . Sur la foi des constats effectus lors de ce contrle, le Prsident de la Commission a dsign M. Bernard PEYRAT, Commissaire, membre de la CNIL, en qualit de rapporteur, afin dengager lencontre de la socit une procdure de sanction fonde sur le I de larticle 45 de la loi du 6 janvier 1978 modifie. A lissue de son instruction, estimant que la socit avait manqu plusieurs obligations lui incombant en application de la loi du 6 janvier 1978 modifie, le rapporteur dtailla chacun des manquements reprochs la socit dans un rapport notifi par porteur la socit, le 6 mai 2011. Aux termes de ce rapport, le rapporteur a propos la formation restreinte de la

CNIL de prononcer lencontre de la socit un avertissement, dont il a par ailleurs demand quil soit rendu public. La socit, par courrier en date du 6 juin 2011, a ragi ce rapport en ritrant des observations prcdemment soumises la Commission par courrier en date du 1er avril 2011. Elle a galement prsent ses observations orales lors de la sance de la formation restreinte du 9 juin 2011. II. MOTIFS DE LA DECISION 1. Sur le grief de collecte dloyale des donnes et dabsence dinformation des personnes quant lindexation de leurs profils sur les rseaux sociaux - Aux termes du 1 de larticle 6 de la loi n 78-17 du 6 janvier 1978 modifie, les donnes caractre personnel sont collectes et traites de manire loyale et licite . La formation restreinte doit tout dabord se prononcer sur le fait de savoir si la collecte effectue en lespce par la socit doit tre considre comme dloyale au sens de cette disposition, en ce quelle prvoit daspirer les profils issus des rseaux sociaux sur Internet sans que les personnes concernes en aient t pralablement informes. Sur ce point, la socit soutient que toute personne renseignant volontairement des informations la concernant sur son profil de rseau social et qui ne souhaite pas utiliser les outils de restriction daccs son profil ne saurait prtendre ignorer que ces informations seront affiches sur Internet, notamment sur les pages de rsultat des moteurs de recherche. Au contraire, labsence de limitation de la diffusion de son profil ou de l'accs son profil constituerait mme une manifestation claire et non quivoque de la volont de la personne dapparatre sur le web et dtre indexe par les moteurs de recherche afin d'augmenter sa visibilit sur Internet. La formation restreinte considre que la circonstance que des profils personnels sont affichs publiquement sur Internet ne permet pas pour autant un organisme tiers de procder une collecte massive, rptitive et indiffrencie de ces donnes sans en avertir les personnes concernes. Si les personnes concernes se sont inscrites sur des rseaux sociaux de leur plein gr, il ne rsulte pas de cette dmarche volontaire que lensemble de ces personnes aient galement accept, systmatiquement et en toute conscience, que leurs informations communautaires soient rcupres par des tiers pour tre agrges leurs donnes dannuaires et diffuses sur le rseau. Au surplus, une telle intention ne saurait lvidence tre impute des personnes mineures dont les profils apparaissent galement sur le site Pages Blanches . En effet, il est connu que les jeunes gnrations nont que rarement conscience de la porte de la diffusion dinformations personnelles par les rseaux sociaux, dont elles sont par ailleurs les plus fervents utilisateurs. Leur attribuer une intention positive que leurs informations soient reprises le plus largement possible sur le rseau, y compris sur un service dannuaire enrichi, semble excessif dans ce contexte. Au contraire, une telle collecte de donnes caractre

personnel est dautant plus problmatique quelle concerne une population jeune et vulnrable, quil est essentiel de particulirement protger. De mme, une telle intention ne peut srieusement tre impute aux personnes ne souhaitant pas apparatre dans lannuaire universel, notamment celles stant inscrites sur la liste dite rouge de lannuaire, qui, toutefois, figureraient dans les rsultats de requtes Pages Blanches si elles avaient par ailleurs un profil non restreint dans un rseau social. Sur ce point, il est inoprant darguer que le service Pages Blanches , dans de telles circonstances, diffuse certes des lments issus des rseaux sociaux sur les personnes, mais ne communique pas leurs coordonnes tlphoniques, qui ne figurent pas dans lannuaire. En effet, les personnes stant inscrites sur liste rouge ont, par un acte positif, manifest leur opposition ce quaucune information les concernant ne figure sur le service Pages Blanches , que ce soit leurs coordonnes tlphoniques et postales, ou a fortiori leur identit, leur photographie ou leur profession. - La socit considre, en second lieu, que ce grief de collecte dloyale doit tre cart ds lors quelle satisferait par ailleurs aux conditions dinformation des personnes qui lui incombent en application de larticle 32 de la loi du 6 janvier 1978 modifie. Le I de cet article prvoit que le responsable du traitement doit fournir la personne auprs de laquelle sont recueillies des donnes caractre personnel la concernant des informations sur lidentit du responsable du traitement, la finalit de ce traitement, le caractre obligatoire ou facultatif des rponses, les destinataires, les droits daccs, de rectification et, le cas chant, dopposition aux donnes les concernant ainsi que des transferts de donnes envisags destination dun Etat non membre de la Communaut europenne . A cet gard, la socit ne conteste pas que les personnes dtentrices de profils communautaires sur des rseaux sociaux ne sont pas informes pralablement par la socit que leurs profils seront extraits puis intgrs dans une page de rsultats du service Pages Blanches , cette information tant son sens impossible fournir avant la mise en ligne aux personnes qui ont t crawles par son service. Elle se prvaut en revanche des diffrentes exceptions lobligation dinformation des personnes pralablement la collecte, telles que prvues par larticle 32-III de la loi. - Le premier paragraphe de cet article prvoit ainsi que lorsque les donnes caractre personnel nont pas t recueillies auprs de la personne concerne, le responsable du traitement ou son reprsentant doit fournir cette dernire les informations numres au I ds lenregistrement des donnes ou, si une communication des donnes des tiers est envisage, au plus tard lors de la premire communication des donnes. A cet effet, la socit indique avoir insr une mention en bas de la page des rsultats des rseaux sociaux du site Pages Blanches , indiquant que Les donnes personnelles figurant sur cette page ont t trouves sur les sites COPAINS DAVANT, FACEBOOK, LINKEDIN, TROMBI, TWITTER ET VIADEO. Conformment la loi Informatique et Liberts (article 38 de la loi du 6 janvier 1978 modifie par la loi du 6 aot 2004), vous bnficiez dun droit daccs ou de suppression de votre profil sur le service PagesBlanches en cliquant ici

Sur ce point, la formation restreinte relve que si la socit a bien insr une telle mention en bas de la page des rsultats des rseaux sociaux du site Pages Blanches , aux fins dinformation des personnes, cette information est tardive ds lors que larticle 32-III impose la socit de procder linformation des personnes au plus tard lors de la constitution de ses bases de donnes, et que tel nest pas le cas en lespce. En outre, elle relve que cette mention dinformation ne sadresse pas aux personnes dont les donnes ont t collectes sur les rseaux sociaux, mais celles effectuant les requtes sur le site. Or il est vident que ces personnes seront, dans une trs large mesure, des tiers par rapport ce traitement puisque, en toute logique, les personnes qui consultent le site Pages Blanches ne sont pas celles dont les profils sont affichs. La socit ne peut donc tre considre comme tant en conformit la loi sur ce point. - En second lieu, et dfaut, la socit se prvaut des dispositions du second paragraphe du III de larticle 32 de la loi, qui prvoit quil peut tre fait exception lapplication des dispositions prcdentes lorsque la personne concerne est dj informe des lments numrs au I de larticle 32. A cet effet, elle soutient que les personnes utilisatrices des rseaux sociaux, notamment de Facebook, sont expressment informes par ceux-ci qu dfaut de restreindre laccs leur profil, les donnes personnelles y figurant peuvent tre indexes par des moteurs de recherche tiers (...) sans restriction de confidentialit. Ces informations peuvent galement tre associes vous, y compris votre nom et votre photo de profil, mme en dehors de Facebook, par exemple sur des moteurs de recherche ou lorsque vous visitez d'autres sites Internet. Ainsi, la socit soutient que les personnes dont les donnes ont t indexes par le service Pages Blanches et diffuses sur la page de rsultat ont t informes de laccessibilit par tout public leurs informations personnelles, si bien quelle ne serait pas tenue de les informer nouveau, conformment larticle 32-III de la loi susvise. Sur ce point, la formation restreinte admet quil pourrait effectivement tre suffisant, pour que la socit satisfasse aux exigences de cet article, que les conditions gnrales dutilisation des rseaux sociaux informent leurs utilisateurs de lutilisation ultrieure qui sera faite de leurs donnes par la socit, ds lors que linformation fournie serait suffisamment spcifique, claire et prcise quant lexistence et aux modalits de ce traitement ultrieur. En loccurrence, il appartient donc la formation restreinte de dterminer si la socit peut lgitimement se prvaloir cette fin de la clause dinformation gnrale stipule par le rseau social Facebook dans sa politique de confidentialit, selon laquelle les donnes que ses utilisateurs mettent en ligne sur ses plateformes sont susceptibles dtre indexes par un moteur de recherche tiers . A cette fin, elle constate que si la socit a effectivement recours une fonction de recherche dinformations indexes dans ses propres bases de donnes pour la fourniture de son service dannuaire, son activit principale na en revanche jamais consist en la mise en uvre dune application permettant de retrouver des ressources extrieures celles enregistres dans ses bases, conformment lacception gnrale du terme moteur de recherche employ par les usagers dInternet. 5

Ds lors, la socit a t malavise de prsumer que les utilisateurs de rseaux sociaux sauraient faire une interprtation extensive de ce terme pour y englober le prestataire dun service dannuaire. En tout tat de cause, la gnralit de linformation diffuse dans la politique de confidentialit du rseau Facebook ne saurait satisfaire aux exigences poses par larticle 32 de la loi, qui prvoit que les personnes doivent tre informes non seulement de lexistence de la collecte, mais galement de ses principales modalits (finalits, droits garantis, transferts hors Union europenne, entre autres). Dans ces conditions, la formation restreinte considre que la socit ne peut se prvaloir de cette clause dinformation gnrale pour prtendre stre conforme ses obligations lgales. - En dernier lieu, la socit invoque les dispositions du second paragraphe du III de larticle 32 de la loi, qui prvoit quil peut tre fait exception lapplication de ces dispositions quand linformation de la personne concerne se rvle impossible ou exige des efforts disproportionns par rapport lintrt de la dmarche . A cet effet, la socit soutient que la mise en uvre d'une telle information exigerait des efforts disproportionns par rapport lintrt de la dmarche, compte tenu du nombre trs important de personnes concernes et du cot disproportionn que supposerait une telle action. Elle soutient ainsi quelle a lgitimement pu sestimer exonre de cette obligation gnrale dinformation, sur le fondement de ces dispositions. Sur ce point, la formation restreinte relve quil est ressorti de linstruction contradictoire que la socit a conclu un accord avec le site TROMBI afin que celui-ci rajoute sur son site une information spcifique relative lindexation par le service Pages Blanches . Ainsi, il apparat clairement que la conclusion daccords avec les six rseaux sociaux crawls par la socit ne constitue pas une contrainte infranchissable. Si de telles dmarches revtent, certes, un caractre contraignant, elles se justifient parfaitement par la ncessit que les utilisateurs dont les profils personnels ont t indexs, cest--dire 25 millions de personnes, soient dment informs des traitements oprs sur leurs donnes sans que leur consentement pralable ait t requis. - Ainsi, au vu des dveloppements qui prcdent, la formation restreinte considre que la collecte effectue par la socit en lespce ne rpond pas la condition de loyaut pose par larticle 6 de la loi du 6 janvier 1978 modifie. Elle considre galement que la socit na pas pris les mesures ncessaires pour tre en conformit aux exigences dinformation pralable des personnes poses par le I larticle 32 de la loi du 6 janvier 1978 modifie, et quelle ne peut se prvaloir daucune des exceptions ces obligations prvues par le III de larticle 32 de cette mme loi.

2. Sur le grief dillicit du filtrage des profils Facebook des fins dexclusion des non-rsidents franais et de non-respect de la finalit initiale du service Pages Blanches

Lors du contrle effectu auprs de la socit, il sest avr que celle-ci, en plus de la collecte des adresses Internet des profils publis par les rseaux sociaux et de lextraction dans les pages Internet correspondantes des informations accessibles publiquement, utilise le champ localisation du rseau social pour sassurer que les donnes collectes ne correspondent qu des personnes rsidant en France. A dfaut dun tel champ sur le rseau social Facebook , et afin dliminer les pages correspondant des profils de non rsidents en France, la socit procde un filtrage des pages issues de ce rseau. Pour ce faire, la socit extrait les couples nom/prnom de lannuaire universel Pages Blanches et conserve ces donnes extraites dans un fichier intermdiaire, qui est ensuite crois avec la base contenant les profils Facebook . La formation restreinte doit dcider si ces faits constituent un traitement illicite de donnes caractre personnel au sens du 1 de larticle 6 de la loi n 78-17 du 6 janvier 1978 modifie, ainsi quun dtournement de finalit au sens du 2 de ce mme article 6 qui prvoit que des donnes caractre personnel ne peuvent tre collectes que pour des finalits dtermines, explicites et lgitimes et ne sont pas traites ultrieurement de manire incompatible avec ces finalits . Pour sa part, la socit dfend cette pratique en invoquant l'article L. 35-4 du Code des postes et des tlcommunications lectroniques (CPCE), qui prvoit que lannuaire universel comprend les noms ou raisons sociales, numros tlphoniques et adresses de tous les abonns aux rseaux ouverts au public, ainsi que la profession et les adresses lectroniques des abonns qui le souhaiteraient. Ainsi, selon elle, le traitement des donnes par la socit est bien destin la fourniture de lannuaire universel, celui-ci visant permettre au public l'exercice du droit de communication et donc de retrouver une personne afin d'entrer en relation avec elle. En effet, elle soutient que les modes de mise en relation et de communication ont volu si bien que, dsormais, la recherche des coordonnes d'une personne passerait essentiellement par le vecteur des moteurs de recherche Internet. Dans le cadre du traitement initial de la socit, qui consiste communiquer les coordonnes postales et tlphoniques de personnes rsidant en France, la socit est tenue dexclure les donnes des profils non localiss en France, ce qui constituerait la raison lgitime pour laquelle la socit devrait procder au filtrage des profils Facebook selon le pays de rsidence des personnes. Cette pratique, selon la socit, ne serait pas prohibe par le CPCE, si bien que le traitement ne serait pas illicite au sens de larticle 6-1 prcit, ni contraire la finalit initiale du traitement au sens de larticle 6-2. Sur ce point, la formation restreinte constate que larticle R.10-4-II du CPCE prohibe l'usage des listes dabonns d'autres fins que la fourniture d'annuaires universels ou de services universels de renseignements tlphoniques . Ainsi, lusage de la liste des abonns et des utilisateurs des fins de filtrage des profils Facebook tant sans lien avec les finalits assignes au service Pages Blanches , il ne peut qutre jug contraire cette disposition du CPCE. La formation restreinte considre donc que lextraction des donnes de lannuaire universel aux fins de filtrage des profils Facebook effectu par la socit est illicite au sens du 1 de larticle 6 prcit, et ne respecte pas la finalit initialement assigne au traitement, au sens du 2 de ce mme article. 7

3. Sur le grief de non-respect de lobligation de mise jour des donnes Aux termes du 4 de larticle 6 de la loi n 78-17 du 6 janvier 1978 modifie, les donnes sont exactes, compltes et, si ncessaire, mises jour ; les mesures appropries doivent tre prises pour que les donnes inexactes ou incompltes au regard des finalits pour lesquelles elles sont collectes ou traites soient effaces ou rectifies . En loccurrence, la formation restreinte relve que les dlais de mise jour des profils issus des rseaux sociaux, tels qutablis lors du contrle, se sont rvls excessivement longs parfois jusqu plus dun an pour les plus anciens profils Twitter non mis jour. Au jour du contrle, 80 % des profils Facebook ; 49 % des profils Linkedin et 30% des profils Twitter navaient pas t mis jour depuis plus de quatre mois. Au surplus, 56% des profils Facebook et 23% des profils Twitter navaient pas t mis jour depuis plus de six mois. Pour sa dfense, la socit soutient que des contrats seraient en cours de conclusion avec les rseaux sociaux franais afin de recevoir quotidiennement les profils mis jour, et qu dfaut daccord possible avec les rseaux sociaux trangers, les informations rsultant de ces derniers seraient supprims. La formation restreinte relve cet gard que la cessation dun manquement, quand bien mme elle serait tablie, ne lui retire pas moins la possibilit de retenir ce manquement aux fins du prononc dun avertissement. En loccurrence, il apparat que labsence de mise jour rapide des donnes est susceptible davoir pos des problmes en cas de suppression ou de modification de profil. Les demandes de modification ou de suppression mises auprs des rseaux sociaux nont donc pas t prises en compte dans des dlais satisfaisants. La formation restreinte conclut donc la mconnaissance par la socit du 4 de larticle 6 de la loi n 78-17 du 6 janvier 1978 modifie.

4. Sur le grief de non-respect des droits des personnes Larticle 38 de la loi du 6 janvier 1978 modifie dispose que toute personne physique a le droit de sopposer, pour des motifs lgitimes, ce que des donnes caractre personnel la concernant fassent lobjet dun traitement. Elle a le droit de sopposer, sans frais, ce que les donnes la concernant soient utilises des fins de prospection, notamment commerciale, par le responsable actuel du traitement ou celui dun traitement ultrieur () . En outre, son article 40 dispose que toute personne physique justifiant de son identit peut exiger du responsable dun traitement que soient, selon les cas, rectifies, compltes, mises jour, verrouilles ou effaces les donnes caractre personnel la concernant, qui sont inexactes, incompltes, quivoques, primes, ou dont la collecte, lutilisation, la communication ou la conservation est interdite . Il appartient la formation restreinte de se prononcer sur la conformit aux articles 38 et 40 de la loi des procdures mises en uvre par la socit afin de permettre aux personnes concernes de faire valoir leurs droits. 8

En dfense, la socit admet que la procdure permettant de mettre en uvre les droits daccs et de suppression des personnes, telles quelles ont t identifies lors du contrle, ntait pas satisfaisante. Elle indique avoir pris des mesures pour la simplifier et rduire au maximum les dlais de traitement des demandes de suppression. En ce qui concerne le droit de rectification, la socit soutient quelle ne peut matriellement satisfaire aux demandes de rectification des donnes sur la page de rsultats de son service, dans la mesure o ces donnes sont gnres automatiquement par l'indexation des informations inscrites par les personnes concernes sur les plateformes de rseaux sociaux. Selon elle, il conviendrait alors que cette personne s'adresse directement la plateforme de rseau social et y modifie son profil afin que les informations indexes par le service Pages Blanches soient exactes. Sur ce point, la formation restreinte constate, en premier lieu, que les personnes se connectant sur le service Pages Blanches taient informes de la facult dexercice de leurs droits par une mention au bas de la page de rsultats des rseaux sociaux du site Pages Blanches . Cette mention tait incomplte, ne faisant pas rfrence aux droits dopposition et de rectification ouverts aux personnes, en sus des droits daccs et de suppression, et ne mentionnant pas davantage la facult leur tant offerte dutiliser une procdure autre que le recours un formulaire lectronique en ligne. Elle relve, en second lieu, que la procdure lectronique mise en uvre pour faire valoir le droit de suppression au jour du contrle tait dune complexit certaine, ds lors que la personne devait obligatoirement renseigner les champs suivants : url du profil supprimer ; photocopie ou un scan dune pice didentit (celle-ci devant tre joint au format jpg ou pdf et ne pas excder 300 Ko); mail ; nom et prnom . En outre, il tait impossible de supprimer plus qu'un seul profil par formulaire, si bien que lintress tait contraint de remplir autant de formulaires en ligne que de profils dtenus sur des rseaux sociaux. Les demandes dopposition imprcises (absence de pice didentit ou url errone) demeuraient quant elles non traites. Elle relve galement, en troisime lieu, que sil est exact que les demandes de rectification de donnes doivent tre principalement introduites auprs des rseaux sociaux, la socit est en revanche tenue de mettre jour rgulirement les donnes des utilisateurs, afin de tenir compte des modifications ou des suppressions de profils. Or tel nest pas le cas, comme il a t prcis plus haut (cf. supra, point 3). Dans ces conditions, la socit est responsable du fait que des demandes de rectification peuvent tre tout le moins partiellement prives deffet en pratique. Enfin, et en quatrime lieu, elle constate que le dispositif mis en place avait pour consquence de ne donner aucune assurance quant au caractre dfinitif dune suppression. En effet, dans lhypothse o les rseaux sociaux modifieraient les adresses url de profils, ou en cas de suppression dun profil par son titulaire puis de cration dun nouveau profil associ une nouvelle adresse url, la socit rfrencera nouveau les profils de personnes stant opposes au traitement de leurs donnes caractre personnel. Or il savre que les personnes ne sont pas informes de labsence de prennit de leur demande dopposition et du risque de nouvelle indexation de leurs profils communautaires. En consquence, la formation restreinte considre que les procdures instaures par la socit 9

pour que les personnes concernes puissent faire valoir auprs delle les droits quelles dtiennent en vertu des articles 38 et 40 susmentionns ne sont pas conformes aux exigences de la loi du 6 janvier 1978 modifie.

5. Sur le grief de non-respect de lobligation de veiller ladquation, la pertinence et au caractre non excessif des donnes Aux termes du 3 de larticle 6 de la loi n 78-17 du 6 janvier 1978 modifie, les donnes caractre personnel collectes doivent tre adquates, pertinentes et non excessives au regard des finalits pour lesquelles elles sont collectes et de leurs traitements ultrieurs . Lors du contrle, la dlgation de la Commission sest attache analyser le traitement de donnes ralis loccasion des requtes effectues sur le portail www.pagesjaunes.fr. Il sest avr, cette occasion, que la socit collectait les adresses IP associes aux contenus, date et heure des requtes effectues sur le portail. Il appartient la formation restreinte de juger si une telle collecte est conforme aux dispositions de larticle 6-3 susmentionn. Lors du contrle comme dans ses observations en rponse, la socit a indiqu conserver ces donnes la seule fin de rpondre aux rquisitions judiciaires, et aucunement des fins statistiques, contrairement ce qua soutenu le rapporteur. Sur ce point, la formation restreinte considre quaucune obligation lgale ne pse sur la socit quant la conservation des adresses IP et des contenus des requtes, quelle que soit la finalit de cette collecte. En effet, la collecte et la conservation de ladresse IP nest aujourdhui requise que dans des cadres lgaux strictement dfinis. Le premier dentre eux est celui fix par larticle L. 34-1 du CPCE, qui impose aux oprateurs de communications lectroniques de conserver les donnes relatives au trafic durant un an pour les besoins de la recherche, de la constatation et de la poursuite des infractions pnales ou d'un manquement l'obligation dfinie l'article L. 336-3 du code de la proprit intellectuelle (prvention du tlchargement et de la mise disposition illicites d'uvres et d'objets protgs par un droit d'auteur ou un droit voisin). De mme, la loi n 2004-575 du 21 juin 2004 pour la confiance dans l'conomie numrique (LCEN) impose aux fournisseurs d'hbergement et aux fournisseurs d'accs Internet de conserver les donnes de nature permettre l'identification des personnes ayant contribu la cration de contenus mis en ligne (blogs, pages personnelles, annonces sur un site de vente aux enchres ), aux fins de communication ventuelle aux autorits judiciaires ainsi qu'aux services en charge de la lutte contre le terrorisme. Or, en lespce, la socit nest ni oprateur de communications lectroniques, ni fournisseur d'hbergement ou fournisseur d'accs internet. De ce fait, aucune obligation lgale nimpose la socit de conserver les adresses IP associes aux contenus, date et heure des requtes effectues sur le portail www.pagesjaunes.fr . La formation restreinte considre donc cette collecte comme inadquate, non-pertinente et excessive, contrairement aux exigences poses par larticle 6-3 susmentionn. 10

- Sur les manquements constats et la publicit de la dcision Sans quil soit besoin de statuer sur les autres manquements, la formation restreinte considre, au vu de ce qui prcde, que la socit Pages Jaunes sest rendue responsable de plusieurs violations des dispositions de la loi du 6 janvier 1978 modifie. Elle prend acte du fait que la socit a suspendu le service dit de webcrawl du service Pages Blanches . Toutefois, elle relve que la procdure davertissement nest pas soumise ladoption dune mise en demeure pralable laquelle la socit aurait la facult de se conformer pour chapper toute sanction. Elle peut donc dcider de sanctionner des faits passs, quand bien mme les manquements auraient cess. En lespce, compte tenu de la sensibilit du service offert par la socit PAGES JAUNES, du nombre de personnes concernes par le service litigieux (25 millions de personnes) et de limportance de prvenir le renouvellement de ces manquements, la formation restreinte adresse un avertissement lencontre de la socit. En outre, afin que les personnes soient informes des droits leur tant accords par la loi quant la protection de leurs donnes caractre personnel, et que les responsables de traitement soient mis en mesure de connatre les rgles qui simposent eux, la formation restreinte dcide que cet avertissement sera rendu public. PAR CES MOTIFS Conformment aux articles 45 et suivants de la loi du 6 janvier 1978 modifie, la formation restreinte de la CNIL, aprs en avoir dlibr, dcide : - De prononcer un avertissement lencontre de la socit Pages Jaunes ; - De rendre public cet avertissement. La Prsidente

Claire DAVAL

11