Même topo que d'habitude : le site web de Météo France (meteofrance.com), établissement public à caractère administratif sous la tutelle du sinistère de la transition écolo, intègre des scripts et des images hébergés sur des serveurs informatiques de sociétés commerciales états-uniennes (essentiellement des CDN), ce qui est incompatible avec le RGPD. Il faut deux sociétés commerciales ricaines pour afficher la carte de France des prévisions météorologiques ! Pourtant, dans sa politique de confidentialité, Météo France « s’engage à ne pas transférer des données personnelles vers des Etats tiers ne disposant pas d’un niveau de protection adéquat des données personnelles ». C'est beau.
Évidemment, je n'ai pas analysé les trouzemilles scripts chargés depuis trouzemilles acteurs par la place de marché publicitaire à laquelle a recours Météo France, Hubvisor, pas suicidaire la guêpe.
Du coup, hop, plainte à la CNIL.
Le raisonnement juridique reste identique aux précédentes fois.
Nouveautés :
Ma plainte CNIL :
ÉDIT DU 25/11/2022 : Elle contient au moins une erreur : c'est dans sa décision du 22/04/2022 que l'APD autrichienne rappelle que le RGPD ne prévoit pas d'approche basée sur le risque en matière de transferts de données personnelles hors de l'UE, pas dans sa décision 2021-0.586.257 (qui en est tout de même la première partie du film). FIN DE L'ÉDIT.
Bonjour,
Pour afficher la carte des prévisions météorologiques sur son site web (https://meteofrance.com/), Météo France a recours à des ressources web externes, trois scripts, qui sont téléchargées depuis les serveurs informatiques de deux sociétés commerciales états-unienne, Cloudflare (pour cdnjs.cloudflare.com, pour le projet jsDelivr.net, et pour le projet unpkg.com) et Fastly (pour le projet jsDelivr.net).
Ces scripts sont automatiquement téléchargés par le navigateur web de l’internaute qui consulte le site web de Météo France (MF).
Comme l’ont jugé la Cour de Justice de l’Union européenne (arrêt C-311/18 dit « Schrems II ») et la Cour régionale de Munich (décision 3_O_17493/20 portant sur Google Fonts), et comme vous l’avez analysé (votre mise en demeure du 10 février 2022 relative à l’utilisation de Google Analytics), ces téléchargements de ressources web en eux-mêmes génèrent de facto un transfert hors de l’Union européenne (UE) de plusieurs données personnelles de l’internaute : son adresse IP, sa langue (entête HTTP Accept-Language), la date et l’heure de ses consultations du site web MF (les entêtes HTTP Referer et CORS Origin consignent pour le compte de quel site une ressource web externalisée est téléchargée), la marque et le modèle de son navigateur web (entête HTTP User-Agent), etc.
Ces données personnelles renforcent entre elles leur caractère discriminant / individualisant (voir l’étude Panopticlick de l’Electronic Frontier Foundation qui, depuis plus d’une décennie, identifie de manière unique un navigateur web à partir, entre autres, des entêtes sus-mentionnés) et rendent identifiable une personne, surtout par un acteur hégémonique qui, par sa présence sur de nombreux sites web, peut suivre une personne entre les sites web et parvenir à l’identifier. On retrouve cette analyse dans votre mise en demeure du 10 février 2022 concernant l’utilisation de Google Analytics.
D’après l’article 44 du RGPD, seules une décision d’adéquation (article 45 du RGPD), des garanties appropriées (articles 46 et 47 du RGPD) ou des exceptions (consentement ou exécution du contrat, les autres dispositions de l’article 49 du RGPD ne sont pas applicables dans le présent contexte) peuvent autoriser ces transferts de données personnelles en dehors de l’UE.
À ce jour, il n’existe plus de décision d’adéquation entre l’UE et les États-Unis, l’arrêt Schrems II de la Cour de Justice de l’Union européenne (CJUE) ayant invalidé la dernière décision, le Privacy Shield.
Comme l’EDPS (décision numéro 2020-1013) et vous-même (votre mise en demeure du 10 février 2022 relative à l’utilisation de Google Analytics) l’analysez, les clauses contractuelles types, et toutes les garanties appropriées ont été indirectement invalidées par l’arrêt Schrems II de la CJUE au motif de la surveillance de l’État fédéral états-unien, de l’absence de recours effectif et de l’absence de démonstration de l’efficacité à garantir un niveau de protection adéquat au droit de l’UE de toute mesure contractuelle, organisationnelle ou technique.
Dans sa politique de confidentialité (https://meteofrance.com/politique-de-confidentialite), MF ne mentionne pas ces transferts de données personnelles à destination des États-Unis et, au contraire, déclare : « Météo-France s’engage à ne pas transférer des données personnelles vers des Etats tiers ne disposant pas d’un niveau de protection adéquat des données personnelles ». De ce fait, nous pouvons avoir la certitude que MF ne recourt pas à des instruments juridiques et/ou à des mesures supplémentaires prévus aux articles 46 et 47 du RGPD.
On peut avoir la certitude que MF met en œuvre aucune mesure technique complémentaire, car son site web inclut des instructions techniques ordonnant au navigateur web de l’internaute le téléchargement des scripts directement auprès des infrastructures techniques des hébergeurs états-uniens choisis par les éditeurs des ressources web que MF intègre sur son site web (projet unpkg, projet jsdelivr.net, etc.). Dès lors, les requêtes de téléchargement émises par le navigateur web de l’internaute ne cheminent pas par l’infrastructure technique de MF ni par celle des éditeurs desdits scripts (dit autrement, il y a un contact direct entre le terminal de l’internaute et les serveurs informatiques des hébergeurs états-uniens de ces scripts), donc elles échappent totalement à MF et aux éditeurs des ressources web, qui peuvent, de ce seul fait, prendre aucune mesure technique.
Enfin, comme l’analyse l’autorité de protection des données personnelles autrichienne (décision numéro 2021-0.586.257), le RGPD ne prévoit pas d’approche fondée sur les risques en matière de transfert de données personnelles à un pays tiers non adéquat.
MF ne recueille pas explicitement le consentement de son visiteur pour le transfert de ses données personnelles sus-référencées vers les États-Unis et ne l’informe pas des risques que ce transfert peut comporter pour lui, comme l’impose l’article 49.1a du RGPD. Le refus de tous les cookies dans le bandeau dédié a aucune incidence sur le chargement des scripts sus-énumérés. Donc, en l’état, ce transfert ne peut pas reposer sur le consentement.
Quand bien même MF le recueillerait, il serait vicié car, en l’absence des ressources web sus-énumérées, la carte des prévisions n’est pas affichée, ce qui contraint l’internaute à accepter de force les traitements de données personnelles réalisés par les trois sociétés commerciales états-uniennes sus-référencées afin d’accéder aux prévisions météorologiques officielles réalisées par un établissement public administratif.
La nécessité des transferts des données personnelles sus-énumérées aux États-Unis au motif de l’exécution d’un contrat (article 49.1b du RGPD) est irrecevable. Les scripts pourraient être téléchargés depuis un seul acteur au lieu de trois (principe d’optimisation technique et de minimisation au sens du RGPD) et/ou ils pourraient être hébergés sur les serveurs informatiques de MF à un coût nul (c’est techniquement et juridiquement possible sans aucune difficulté) et/ou ils pourraient être diffusés par des entités de droit européen hébergées (informatiquement) dans l’UE. Le recours à plusieurs hébergeurs informatiques états-uniens pour afficher une carte constitue un déséquilibre fort entre le faible intérêt pour MF et l’atteinte disproportionnée aux droits des personnes physiques que cela constitue.
Les téléchargements automatiques de ressources web externes (trois scripts) pour afficher la carte des prévisions météorologiques sur le site web de Météo France, et les transferts de données personnelles vers les États-Unis qui en découlent sont donc illégaux.
En sus, d’autres ressources web externes (images et scripts) sont automatiquement téléchargées lors de la consultation du site web de Météo France. Ces ressources sont hébergées sur des infrastructures techniques situées aux États-Unis et/ou détenues par des organisations de droit états-unien.Inventaire :
- Script Google Tag Manager ;
- Régie publicitaire Google DoubleClick ;
- Place de marché publicitaire Hubvisor hébergée par Fastly ;
- Vidéos Google YouTube ;
- CMP Didomi (privacy-center.org) hébergée par Amazon.
Évidemment, en tant que place de marché publicitaire, Hubvisor fait à son tour télécharger automatiquement des ressources web (des scripts) depuis tout un tas d’acteurs états-uniens. Il sert à rien de les énumérer puisqu’ils changent à chaque consultation du site web MF ou en fonction des campagnes publicitaires en cours. Néanmoins, je peux lister : 3lift (hébergement Amazon), AppNexus (société commerciale états-unienne auto-hébergée), ayads.co (hébergement Cloudflare), casalemedia (idem), PubMatic Inc. (société commerciale états-unienne auto-hébergée), sskzlabs.com (hébergement Amazon).
Je constate que Google Tag Manager fait à son tour télécharger automatiquement l’outil de mesure d’audience Xiti de la société AT Internet dont les scripts « d’initialisation » sont hébergés par Amazon (cf. https://www.atinternet.com/rgpd-et-vie-privee/collecte-de-donnees-sur-les-sites-de-nos-clients/#traitees-et-stockees).
Depuis mars 2021, l’unique actionnaire d’AT Internet est la société commerciale états-unienne Piano Software Inc. (cf. https://www.atinternet.com/presses/at-internet-sassocie-a-piano-pour-creer-la-premiere-plateforme-dexperience-client-basee-sur-lanalyse-contextuelle/). Celle-ci est toujours immatriculée dans le Delaware (cf. https://icis.corp.delaware.gov/Ecorp/EntitySearch/NameSearch.aspx) et elle dispose toujours de plusieurs bureaux aux États-Unis (cf. https://resources.piano.io/about/).
Le mémorandum concernant l’application de Cloud Act à des entités européennes commandé par le ministère de la Justice des Pays-Bas (https://www.ncsc.nl/documenten/publicaties/2022/augustus/16/cloud-act-memo) tend à montrer que, de ces faits, AT Internet est soumise au Cloud Act. De là, votre analyse appuyant votre mise en demeure du 10 février 2022 portant sur Google Analytics est de pleine application ici.
Le raisonnement est similaire à celui déroulé au premier point de cette plainte : ces téléchargements de ressources web, déclenchés automatiquement lors de la consultation du site web de Météo France, génèrent de facto plusieurs transferts de données personnelles (cf. liste au premier point) à destination des États-Unis ; il n’existe plus de décision d’adéquation entre l’UE et les États-Unis ; toutes les garanties appropriées, et les mesures complémentaires sont irrecevables ; MF dément tout transfert aux États-Unis (cf. premier point) et ne prévoit donc pas de mesures complémentaires ; le consentement de l’internaute (au sens de l’article 49.1a du RGPD) n’est pas recueilli (et le refus de tous les cookies dans le bandeau dédié a aucune incidence sur le chargement des ressources web sus-énumérées) ; et la nécessité des transferts des données personnelles vers les États-Unis n’est pas établie :
- Un outil de mesure d’audience (c’est ainsi qu’il est présenté par son éditeur, AT Internet) ne peut pas être regardé comme étant nécessaire à l’exécution d’un contrat, car le service peut être fourni sans : si l’on bloque les requêtes web de téléchargement de cet outil avec l’extension pour navigateur web uMatrix, par exemple, le site web de MF reste intégralement fonctionnel ;
- Pour la même raison, des régies publicitaires ne peuvent être appréciées comme étant nécessaires à l’exécution d’un contrat, mais, en sus, la nécessité financière d’un recours à la publicité par un établissement public à caractère administratif interroge ;
- MF peut déclencher le chargement des vidéos (Google YouTube et Vivendi Dailymotion, même combat), après un clic sur un bouton / encart qui informe l’internaute du transfert de ses données personnelles vers les États-Unis et des risques encourus ;
- MF peut réduire le nombre d’acteurs du même type (deux régies publicitaires, deux plateformes de vidéos) qu’elle intègre sur son site web. Principe d’optimisation technique et de minimisation des traitements (et, en l’occurrence, des transferts) au sens du RGPD ;
- En tout état de cause, MF peut soit utiliser des outils hébergés en interne à coût quasi-nul (cas de la mesure d’audience ou de la CMP) ou externaliser auprès d’entités européennes hébergées (informatiquement) dans l’UE (régie pub, CMP, plateforme vidéos, etc.). La nécessité de recourir à des entités états-uniennes et de leur transférer des données personnelles n’est donc pas démontrée.
Les téléchargements automatiques de ressources web externes lors de la consultation du site web de Météo France, et les transferts de données personnelles vers les États-Unis qui en découlent sont donc illégaux.
Je vais signaler, au DPO de Météo France, ces manquements au RGPD afin qu’il s’explique, mais quelles que soient la réponse et les actions, y compris correctrices, qu’il entreprendrait, les faits relatés ci-dessus constituent en soi des violations du Règlement qui justifient à elles seules le dépôt d’une plainte pour sanction auprès de l’autorité de contrôle que vous êtes.Je vous rappelle l'arrêt TS 1039/2022 dans lequel le Tribunal Supremo espagnol a jugé qu'une APD peut agir même si la personne physique concernée par un traitement de données personnelles n'a pas fait valoir ses droits auprès du responsable du traitement en question.
Bonne journée.
ÉDIT DU 20/07/2023 :
Le 26/05/2023, j'ai envoyé à la CNIL ce complément de réclamation :
Bonjour,
Depuis quelques semaines (cf. https://twitter.com/nb4ld/status/1659682417039273990), Météo France n'a plus recours à des ressources web téléchargées depuis des entités états-uniennes pour afficher sa carte des prévisions météo. Donc, la première partie de ma réclamation, jusqu'à la fin de la 2e page, est caduque.
En revanche, Météo France a toujours recours à la régie pub Google, à une place de marché hébergée derrière Fastly, à une CMP hébergée chez Amazon, à Google Tag Manager et Piano Xiti (hébergé par Amazon), et à des vidéos incrustées depuis Google YouTube et Dailymotion (dont le lecteur de vidéos est partiellement diffusé par des entités états-uniennes).
En conséquence, je maintiens ma réclamation.
Bonne fin de semaine.
FIN DE L'ÉDIT du 20/07/2023.
ÉDIT DU 22/07/2023 :
Au final, ça n'aura pas duré longtemps dès le 05/06/2023, les scripts externes étaient de retour et à nouveau nécessaires pour afficher la carte des prévisions…
J'en ai donc informé la CNIL le 22/07/2023 :
Bonjour,
Je retire mon complément du 26/05/2023. En effet, dès le 5 juin 2023, les ressources web téléchargées depuis des entités états-uniennes référencées dans ma réclamation étaient à nouveau indispensables pour afficher la carte des prévisions sur le site web de Météo France.
Le manquement au RGPD constaté dans la première partie de ma réclamation (jusqu'à la fin de sa deuxième page) a donc cessé uniquement entre le 16 mai 2023 après-midi et le 5 juin 2023 matin. Sources : https://web.archive.org/web/20230516215928/https://meteofrance.com/ et https://web.archive.org/web/20230605093322/https://meteofrance.com/.
En conséquence, je maintiens ma réclamation initiale dans son intégralité.
Bonne semaine.
FIN DE L'ÉDIT du 22/07/2023.