Conseil d'État, 19 juin 2020, n° 430810

Vu la procédure suivante : Par une requête sommaire, un mémoire complémentaire, deux mémoires en réplique, des observations complémentaires et un nouveau mémoire, enregistrés les 16 mai, 1er août et 19 décembre 2019 et les 11 février, 18 mai et 10 juin 2020 au secrétariat du contentieux du Conseil d'Etat, la société Google LLC demande au Conseil d'Etat : 1°) d'annuler la délibération n° SAN-2019-001 du 21 janvier 2019 par laquelle la formation restreinte de la Commission nationale de l'informatique et des libertés (CNIL) a prononcé à son encontre une sanction pécuniaire d'un montant de 50 000 000 d'euros et décidé de de rendre publique sa délibération, qui sera anonymisée à l'expiration d'un délai de deux ans à compter de sa publication ; 2°) à titre subsidiaire, de poser les questions préjudicielles suivantes à la Cour de justice de l'Union européenne et de surseoir à statuer dans l'attente de la réponse de la Cour à ces questions : " 1 - Un responsable du traitement constitué dans un pays tiers à l'Union européenne ayant plusieurs établissements dans l'Union européenne et un siège européen désigné sur le territoire d'un Etat membre peut-il avoir un " établissement principal " au sens de l'article 4(16) du RGPD dans cet État membre dans l'hypothèse où les décisions sur les finalités et les moyens du traitement sont prises dans ce pays tiers ' 2 - Lorsqu'un responsable du traitement envisage un traitement ayant plusieurs finalités et cherche à obtenir le consentement de la personne concernée en application de l'article 6(1)(a) du RGPD pour l'ensemble de ces finalités, l'article 7(2) et le considérant 32 du RGPD imposent-ils au responsable du traitement de donner la possibilité à la personne concernée de détailler son consentement par finalité dès le premier niveau d'information, ou la personne concernée peut-elle donner son consentement par un acte positif clair et unique pour l'ensemble des finalités dans le premier niveau d'information tout en ayant accès, par le biais d'un lien ou de tout autre moyen, à la possibilité de détailler son consentement dans un second niveau d'information ' ".

Vu les autres pièces du dossier ;

Vu : - la Constitution, notamment son Préambule ; - la convention européenne de sauvegarde des droits de l'homme et des libertés fondamentales ; - le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ; - la loi n° 78-17 du 6 janvier 1978 ; - le décret n° 2005-1309 du 20 octobre 2005 ; - l'arrêt de la Cour de justice de l'Union européenne C-673/17 Bundesverband der Verbraucherzentralen und Verbraucherverbände - Verbraucherzentrale Bundesverband eV contre Planet49 GmbH du 1er octobre 2019 ; - le code de justice administrative et l'ordonnance n° 2020-305 du 25 mars 2020 modifiée ;

Après avoir entendu en séance publique : - le rapport de M. Réda Wadjinny-Green, auditeur - les conclusions de M. Alexandre Lallet, rapporteur public ; La parole ayant été donnée, avant et après les conclusions, à la SCP Spinosi, Sureau, avocat de la société Google LLC et à la SCP Foussard, Froger, avocat de l'association de l'Union fédérale des consommateurs - Que choisir ;

Vu la note en délibéré, enregistrée le 13 juin 2020, présentée par la société Google LLC ;

Considérant ce qui suit :

1. Il résulte de l'instruction que la Commission nationale de l'informatique et des libertés (CNIL) a été saisie les 25 et 28 mai 2018 de deux plaintes collectives déposées en application de l'article 80 du règlement (UE) 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, dit Règlement général sur la protection des données (RGPD), formées par les associations None of Your Business et La Quadrature du Net. Le 21 septembre suivant, la CNIL a diligenté un contrôle en ligne afin de vérifier la conformité des traitements opérés par la société Google LLC à partir des données personnelles des utilisateurs du système d'exploitation Android à la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés et au RGPD. A la suite de ce contrôle, la présidente de la CNIL a engagé une procédure de sanction. Par une délibération du 21 janvier 2019, dont la société Google LLC demande l'annulation, la formation restreinte de la CNIL a infligé à cette société une sanction pécuniaire de 50 000 000 d'euros à raison de manquements aux articles 6, 12 et 13 du RGPD et a décidé de rendre cette sanction publique pendant une durée de deux ans à compter de sa publication. Sur l'intervention de l'UFC - Que choisir :

2. L'UFC - Que choisir justifie, eu égard à l'objet et à la nature du litige, d'un intérêt suffisant pour intervenir dans la présente instance au soutien des conclusions présentées par la Commission nationale de l'informatique et des libertés (CNIL), qui tendent au rejet de la requête. Son intervention est, par suite, recevable. Sur la compétence de la CNIL :

3. L'article 55 du RGPD dispose que : " Chaque autorité de contrôle est compétente pour exercer les missions et les pouvoirs dont elle est investie conformément au présent règlement sur le territoire de l'État membre dont elle relève " tandis qu'aux termes de l'article 56 du règlement : " 1. Sans préjudice de l'article 55, l'autorité de contrôle de l'établissement principal ou de l'établissement unique du responsable du traitement ou du sous-traitant est compétente pour agir en tant qu'autorité de contrôle chef de file concernant le traitement transfrontalier effectué par ce responsable du traitement ou ce sous-traitant, conformément à la procédure prévue à l'article 60. (...) 6. L'autorité de contrôle chef de file est le seul interlocuteur du responsable du traitement ou du sous-traitant pour le traitement transfrontalier effectué par ce responsable du traitement ". En vertu du 7) de l'article 4 de ce même règlement, la notion de " responsable de traitement " désigne " la personne physique ou morale (...) qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement (...) " tandis qu'aux termes du 16 de ce même article celle " d'établissement principal " doit être entendue comme " a) en ce qui concerne un responsable du traitement établi dans plusieurs États membres, le lieu de son administration centrale dans l'Union, à moins que les décisions quant aux finalités et aux moyens du traitement de données à caractère personnel soient prises dans un autre établissement du responsable du traitement dans l'Union et que ce dernier établissement a le pouvoir de faire appliquer ces décisions, auquel cas l'établissement ayant pris de telles décisions est considéré comme l'établissement principal (...) ". Enfin, le 36ème considérant du règlement précise que : " L'établissement principal d'un responsable du traitement dans l'Union devrait être déterminé en fonction de critères objectifs et devrait supposer l'exercice effectif et réel d'activités de gestion déterminant les décisions principales quant aux finalités et aux moyens du traitement dans le cadre d'un dispositif stable (...) ".

4. Il résulte clairement des dispositions citées au point précédent que lorsqu'est en cause un traitement transfrontalier de données à caractère personnel opéré au sein de l'Union européenne, l'autorité de contrôle de l'établissement principal dans l'Union du responsable de ce traitement est, en tant qu'autorité chef de file, compétente pour contrôler le respect des exigences du RGPD. Pour la détermination de l'autorité de contrôle compétente, l'administration centrale du responsable du traitement, c'est-à-dire le lieu de son siège réel, doit en principe être regardée comme son établissement principal. Il en va autrement si un autre de ses établissements est compétent pour prendre les décisions relatives aux finalités et aux moyens du traitement et dispose du pouvoir de les faire appliquer à l'échelle de l'Union. Dans l'hypothèse où un responsable de traitement implanté en dehors de l'Union européenne met en oeuvre un traitement transfrontalier sur le territoire de l'Union, mais qu'il n'y dispose ni d'administration centrale, ni d'établissement doté d'un pouvoir décisionnel quant à ses finalités et à ses moyens, le mécanisme de l'autorité chef de file prévu à l'article 56 du RGPD ne peut être mis en oeuvre. Dans pareil cas, chaque autorité de contrôle nationale est compétente pour contrôler le respect du RGPD sur le territoire de l'Etat membre dont elle relève, conformément à l'article 55 précité.

5. La société Google LLC soutient que la CNIL n'était pas compétente pour engager la procédure de sanction mentionnée au point 1 et qu'elle était tenue de transmettre les plaintes qu'elle avait reçues à l'autorité de protection des données irlandaises, dès lors que la société Google Ireland Limited devait être considérée comme son établissement principal au sein de l'Union européenne. Elle se borne à indiquer notamment que son établissement irlandais constitue son " siège social " pour ses opérations européennes, qu'il dispose de moyens financiers et humains importants et assume, pour l'ensemble de l'Europe, la responsabilité de " nombreuses fonctions organisationnelles ", dont la consistance n'est pas précisée. Il est constant que le système d'exploitation Android était, à la date de la décision attaquée, exclusivement développé et exploité par la société Google LLC, implantée au Etats-Unis et responsable des traitements litigieux. D'une part, il ne résulte pas de l'instruction que la société Google Ireland exerçait, à cette date, un pouvoir de direction ou de contrôle sur les autres filiales européennes de la société Google LLC de nature à la regarder comme une administration centrale au sens du RGPD. D'autre part, il résulte de l'instruction que cet établissement, qui ne s'est en tout état de cause vu attribuer de nouvelles responsabilités s'agissant des traitements opérés par Google en Europe qu'à partir du 22 janvier 2019, soit postérieurement à la date de la sanction attaquée, ne disposait jusqu'à cette date d'aucun pouvoir décisionnel quant aux finalités et aux moyens des traitements litigieux, pas plus qu'aucun autre de ses établissements européens.

6. Il résulte de ce qui a été dit aux points 4 et 5 que la société Google Ireland Limited ne pouvait être regardée comme l'administration centrale du responsable des traitements litigieux et que la société Google LLC, qui seule déterminait leurs finalités et moyens, ne disposait pas, à la date de la sanction attaquée, d'établissement principal au sein de l'Union européenne, au sens et pour l'application du RGPD. Aucune autorité chef de file ne pouvant dès lors être désignée dans les conditions prévues à l'article 56 du RGPD, la CNIL était compétente pour instruire les plaintes des associations None of Your Business et La Quadrature du Net à raison des traitements des données personnelles des utilisateurs français du système d'exploitation Android opérés par la société Google LLC et infliger à cette dernière la sanction attaquée. La reconnaissance d'une telle compétence de la CNIL à l'égard des responsables de traitement de données des utilisateurs situés en France, dont les conditions de détermination ne méconnaissent en tout état de cause pas le principe de légalité des délits et des peines, ne saurait entraîner une violation du principe du non bis in idem. Sur la régularité de la procédure :

7. En premier lieu, le comité européen de la protection des données (CEPD) émet un avis dans les hypothèses visées au paragraphe 1 de l'article 64 du RGPD, au nombre desquelles ne figurent pas les procédures de sanction, ou lorsqu'il est saisi à cet effet par une autorité de contrôle, le président du comité ou la Commission en vertu du deuxième paragraphe de ce même article. Le comité peut également prendre des décisions contraignantes dans les cas visés à l'article 65 du règlement, qui dispose notamment que : " 1. En vue d'assurer l'application correcte et cohérente du présent règlement dans les cas d'espèce, le comité adopte une décision contraignante dans les cas suivants : a) lorsque, dans le cas visé à l'article 60, paragraphe 4, une autorité de contrôle concernée a formulé une objection pertinente et motivée à l'égard d'un projet de décision de l'autorité de contrôle chef de file et que l'autorité de contrôle chef de file n'a pas donné suite à l'objection ou a rejeté cette objection au motif qu'elle n'est pas pertinente ou motivée (...) b) lorsqu'il existe des points de vue divergents quant à l'autorité de contrôle concernée qui est compétente pour l'établissement principal ; / c) lorsqu'une autorité de contrôle compétente ne demande pas l'avis du comité dans les cas visés à l'article 64, paragraphe 1, ou qu'elle ne suit pas l'avis du comité émis en vertu de l'article 64 ".

8. Il résulte de l'instruction que, le 1er juin 2018, la CNIL a soumis les plaintes dont elle était saisie à ses homologues européens via le système européen d'échange d'information en vue de la désignation d'une éventuelle autorité chef de file. Aucune autorité de contrôle européenne n'a alors décidé de saisir le comité européen de la protection des données ni fait part d'une appréciation divergente de celle de la CNIL quant à l'absence d'établissement principal de Google LLC en Europe. En outre, postérieurement à cette date, l'autorité de protection des données irlandaise a publiquement indiqué, par un droit de réponse exercé le 27 août 2018 dans le quotidien Irish Times, qu'elle n'était pas l'autorité chef de file de Google LLC dès lors que l'établissement irlandais de cette société ne disposait d'aucun pouvoir décisionnel quant aux traitements de données qu'elle opérait en Europe. En l'absence de point de vue divergent et dès lors que l'instruction de la plainte en litige ne relève d'aucun autre cas prévu par les articles 64 et 65 du RGPD, le moyen tiré de ce que l'absence de saisine du comité européen de la protection des données aurait entaché la procédure d'irrégularité ne peut qu'être écarté.

9. En second lieu, le mécanisme prévu aux articles 60 à 62 du RGPD, qui a pour objectif d'encourager la coopération entre les différentes autorités de contrôle européennes de protection des données et d'assurer une application cohérente du règlement dans l'ensemble de l'Union, ne s'applique qu'en cas de désignation d'une autorité chef de file ou d'opérations conjointes des autorités de contrôle. La procédure litigieuse ne relevant d'aucune de ces deux hypothèses, le moyen tiré de la méconnaissance par la CNIL de son devoir de coopération et d'assistance mutuelle, qui en tout état de cause ne saurait être utilement invoqué à l'appui d'un recours dirigé contre une sanction infligée par elle, ne peut qu'être écarté. Sur la méconnaissance des droits de la défense :

10. En premier lieu, la société requérante soutient que le décret du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, sous l'empire duquel s'est déroulée la procédure litigieuse, méconnaît les droits de la défense et le droit au procès équitable garantis par l'article 16 de la Déclaration des droits de l'homme et du citoyen de 1789 et l'article 6 de la convention européenne de sauvegarde des droits de l'homme et des libertés fondamentales dès lors, d'une part, que les délais de procédure qu'il prévoit sont trop brefs pour permettre au responsable de traitement de préparer utilement sa défense et, d'autre part, qu'aucune modulation de ce délai, notamment pour les responsables de traitement établis à l'étranger, n'est aménagée.

11. Aux termes de l'article 16 de la Déclaration des droits de l'homme et du citoyen de 1789 : " Toute société dans laquelle la garantie des droits n'est pas assurée, ni la séparation des pouvoirs déterminée, n'a point de Constitution ". Cette disposition implique notamment qu'aucune sanction ayant le caractère d'une punition ne puisse être infligée à une personne sans que celle-ci ait été mise à même de présenter ses observations sur les faits qui lui sont reprochés. S'agissant des mesures à caractère de sanction, le respect du principe général des droits de la défense suppose que la personne concernée soit informée, avec une précision suffisante et dans un délai raisonnable avant le prononcé de la sanction, des griefs formulés à son encontre et puisse avoir accès aux pièces au vu desquelles les manquements ont été retenus, à tout le moins lorsqu'elle en fait la demande.

12. L'article 74 du décret du 20 octobre 2005, alors en vigueur, dispose que : " Lorsqu'une sanction est susceptible d'être prononcée, le président de la commission désigne un rapporteur n'appartenant pas à la formation restreinte et en informe le responsable de traitement ou le sous-traitant mis en cause. / Le rapporteur procède à toutes diligences utiles avec le concours des services de la commission. Le responsable du traitement ou le sous-traitant peut être entendu si le rapporteur l'estime utile (...) ". Aux termes de l'article 75 de ce même décret : " Le rapport prévu par l'article 47 de la loi du 6 janvier 1978 susvisée est notifié au responsable du traitement ou au sous-traitant par tout moyen permettant à la commission d'apporter la preuve de la date de cette notification. Il est également transmis à la formation restreinte. / Le responsable du traitement ou le sous-traitant dispose d'un délai d'un mois pour transmettre au rapporteur et à la formation restreinte ses observations écrites. La notification du rapport mentionne ce délai et précise que le responsable du traitement peut prendre connaissance et copie des pièces du dossier auprès des services de la commission et se faire assister ou représenter par tout conseil de son choix. / Le rapporteur peut répondre au responsable du traitement ou au sous-traitant dans les quinze jours suivant la réception des observations du mis en cause. Le responsable du traitement ou le sous-traitant dispose d'un nouveau délai de quinze jours pour, le cas échéant, produire des observations écrites. (...) Le responsable du traitement ou le sous-traitant est informé que passés les délais mentionnés aux alinéas précédents, sauf report de la clôture de l'instruction, l'instruction est close et ses observations écrites seront déclarées irrecevables par la formation restreinte. / A tout moment, le rapporteur peut décider de modifier son rapport, notamment, au vu d'éléments portés à sa connaissance par le responsable du traitement ou le sous-traitant. Il est alors fait application de la procédure prévue aux alinéas précédents. Si la modification intervient après la clôture de l'instruction, l'instruction est rouverte ". L'article 76 du décret prévoit enfin que : " Le responsable du traitement ou le sous-traitant est informé de la date de la séance de la formation restreinte au cours de laquelle est inscrite l'affaire le concernant et de la faculté qui lui est offerte d'y être entendu, lui-même ou son représentant, par tout moyen permettant d'attester la date de sa notification. Cette information doit lui parvenir au moins un mois avant la date de la séance au cours de laquelle l'affaire est examinée. En cas de réexamen ou de report de l'affaire lors d'une séance ultérieure, ce délai minimal peut être ramené à sept jours ".