QWANT : la CNIL estime que le moteur de recherche traite des données personnelles et lui adresse un rappel à ses obligations légales

Le contexte

La société QWANT est une société française qui a lancé son moteur de recherche en 2013. En raison des fortes mesures de protection de la vie privée qu’elle mettait en œuvre, la société estimait que le moteur de recherche ne collectait aucune donnée personnelle lorsque les utilisateurs effectuaient une recherche, notamment dans le cadre de l’affichage de publicités en lien avec l’objet de la recherche. Les données utilisées dans le cadre de la vente des espaces publicitaires du moteur de recherche, opérée via MICROSOFT, étaient donc présentées comme anonymes.  

Le 15 mars 2019, la CNIL a été saisie d’une plainte à l’encontre de la société QWANT, au motif que les données personnelles collectées constitueraient des données à caractère personnel, et non des données anonymes, et que dès lors la réglementation sur les données à caractère personnel n’était pas respectée.

Sur la base de cette plainte, la CNIL a réalisé en 2019 deux contrôles auprès de la société et qui ont été suivis par de nombreux échanges avec la société. Ces investigations ont permis d’établir que les données personnelles que QWANT transmettait à la société MICROSOFT étaient essentiellement techniques (telles que l’adresse IP tronquée ou l’adresse IP hachée pour constitution d’un identifiant généré par QWANT), afin que MICROSOFT puisse :

• afficher des publicités contextuelles, en lien avec la recherche de l’utilisateur, ne nécessitant par conception pas de traçage dans le temps des activités de l’utilisateur, ni n’alimentant un profil ;
• comptabiliser le nombre d’affichage publicitaire ;
• proposer l’affichage de ses propres résultats de recherche dans le cas où QWANT ne serait pas en mesure de proposer des résultats suffisants, en nombre ou en qualité.

Au cours des investigations, la société QWANT a indiqué à la CNIL qu’elle considérait que les moyens techniques qu’elle avait mis en place avaient pour effet d’anonymiser les données collectées avant leur transmission à la société MICROSOFT. En conséquence, la société QWANT estimait ne pas transmettre de données à caractère personnel. À ce titre, la politique de confidentialité du moteur de recherche, dans sa version initiale, indiquait que les requêtes des utilisateurs étaient immédiatement « anonymisées ».

Au terme d’analyses poussées réalisées en 2019, compte tenu du caractère hautement technique des éléments du dossier et du fait qu’il s’agissait du premier dispositif de la sorte examiné par la CNIL, sa présidente a considéré, malgré les mesures déployées par la société QWANT, qu’au regard notamment des recommandations et jurisprudences pertinentes à l’époque des faits, les données transmises à la société MICROSOFT ne pouvaient pas être qualifiées d’anonymes. En 2020, la société QWANT modifiait en conséquence sa politique de confidentialité.

Compte tenu du caractère transfrontalier du traitement, la CNIL a, en tant qu’autorité cheffe de file, partagé en 2020 ses conclusions avec ses homologues européens afin notamment d’échanger sur l’analyse et sur la mesure correctrice la plus appropriée.

À l’issue de nombreux échanges avec ses homologues, la CNIL a prononcé un rappel aux obligations légales à l’encontre de la société au vu de ces constats datant de 2019.

Le contenu du rappel aux obligations légales

Dans sa décision, la présidente de la CNIL a rappelé que, malgré les fortes précautions prises en 2019 pour éviter la ré-identification des personnes, le jeu de données transmis à MICROSOFT n’était pas anonymisé mais seulement pseudonymisé.

Or, dans sa politique de confidentialité à l’époque des contrôles, la société QWANT indiquait que les données étaient anonymes. Dès lors qu’elle considérait que la réglementation sur les données personnelles n’était pas applicable, elle ne mentionnait pas la finalité publicitaire de la transmission de données à la société MICROSOFT, ainsi que la base légale mobilisée par ce traitement. Enfin, jusqu’au 21 février 2020, les versions italienne et allemande de la politique de confidentialité ne comportaient pas les mêmes informations que les versions française et anglaise.

Aussi, au jour du contrôle, les informations contenues dans la politique de confidentialité concernant le traitement relatif à la transmission des données à MICROSOFT étaient inexactes et incomplètes. La société méconnaissait donc ses obligations de transparence et d’information, prévues aux articles 12 et 13 du RGPD.

Pourquoi un rappel aux obligations légales et non une amende ?

Le rappel aux obligations légales est l’une des mesures correctrices que la présidente de la CNIL peut prononcer avec la mise en demeure et l’avertissement, mais qui n’a pas le caractère de sanction.

Le choix de cette mesure est apparu justifié car la volonté de la société QWANT était de développer un moteur de recherche qui ne consommerait pas ou très peu de données personnelles, en ayant recours à de la publicité contextuelle et non de la publicité comportementale et donc avec un niveau d’intrusivité bien plus faible. En effet, les données transmises à MICROSOFT, essentiellement techniques, n’étaient pas conservées afin d’établir le profil publicitaire de l’utilisateur. Il n’y avait donc aucun suivi dans le temps de l’activité de l’utilisateur.

En cela, bien que la CNIL considère in fine que les données transmises à MICROSOFT étaient pseudonymes, elle souligne que de nombreuses mesures techniques ont été déployées par la société afin de réduire au maximum le risque de réidentification. C’est une erreur d’analyse initiale sur la qualification des données transmises qui a entraîné les manquements commis, sans intentionnalité de la part de la société QWANT de se soustraire aux dispositions du RGPD.  

Ensuite, la présidente de la CNIL a relevé que la société a fait évoluer sa politique de confidentialité dès ses échanges avec la CNIL le 22 octobre 2020 :

• pour mentionner une transmission de données « pseudonymes » à MICROSOFT ;
• pour mentionner de manière explicite la base légale et la finalité publicitaire de la transmission de données à la société MICROSOFT.

Par ailleurs, la société QWANT a également mis à jour sa politique de confidentialité dans les différentes langues courant 2020, afin que les traductions comportent toutes les mêmes informations.

Enfin, la présidente de la CNIL a pris en compte la bonne foi de la société et sa coopération avec la CNIL tout au long de la procédure.

Ces éléments ont conduit la présidente à considérer qu’un rappel aux obligations légales à l’égard de la société constituait une mesure correctrice proportionnée.