AgentPublic/cnil huggingface dataset:
92. La formation restreinte considère que l’indication de la base légale applicable à chaque traitement présente une importance particulière. D’une part, elle permet à la personne concernée d’avoir une appréciation globale sur le traitement réalisé, notamment sur son origine. Elle doit ainsi être en mesure de savoir si les données traitées le sont sur le fondement du consentement qu’elle a donné (et qu’elle pourrait donc retirer), ou en vertu d’un contrat qu’elle aurait passé avec le responsable de traitement, d’une obligation légale de ce dernier ou encore de son intérêt légitime. D’autre part, et surtout, la base légale applicable peut avoir des conséquences directes sur les droits des personnes. Par exemple, l’article 20 du RGPD prévoit que le droit à la portabilité des données s’applique lorsque le traitement est fondé sur le consentement. Dès lors, la société avait l’obligation de préciser la base légale applicable à chaque traitement mis en œuvre.
93. En raison de l’absence de telles précisions, la formation restreinte considère que les mentions portées sur le site […] étaient incomplètes.
94. Sur le troisième point, la formation restreinte souligne que l’article 13 du Règlement impose, en son point 1.f), que le responsable de traitement informe la personne concernée de " l'existence ou l'absence d'une décision d'adéquation rendue par la Commission ou, dans le cas des transferts visés à l’article 46 ou 47, ou à l’article 49, paragraphe 1, deuxième alinéa, la référence aux garanties appropriées ou adaptées et les moyens d'en obtenir une copie ou l'endroit où elles ont été mises à disposition ".
95. La formation restreinte constate que ces informations n’étaient pas communiquées aux personnes concernées au moment des constations effectuées par la délégation de contrôle. La formation restreinte considère que les mentions portées sur le site […] étaient incomplètes.
96. Sur le quatrième point, la formation restreinte relève que l’article 13-2-a) du Règlement impose que les personnes soient informées de " la durée de conservation des données à caractère personnel ou, lorsque ce n'est pas possible, les critères utilisés pour déterminer cette durée ". Les lignes directrices sur la transparence, venant éclairer les dispositions de l’article 13, précisent que " la période de conservation (ou les critères pour la déterminer) […] devrait être formulée de manière à ce que la personne concernée puisse évaluer […] quelle sera la période de conservation s’agissant de données spécifiques ou en cas de finalités spécifiques ". La formation restreinte relève que les mentions d’information n’indiquaient pas les durées de conservation (ou les critères utilisés pour l’établir) de manière systématique pour l’ensemble des données ou des finalités, notamment les données de navigation ou les données relatives aux achats effectués. Il en résulte que les personnes ne pouvaient pas estimer, pour nombre de données, les durées de conservation établies par le responsable de traitement.
97. En raison de l’absence de telles précisions, la formation restreinte considère que les mentions portées sur le site […] étaient incomplètes.
98. Il ressort de l’ensemble de ces éléments que l’information communiquée aux personnes à travers le site […] et à travers les bulletins papier d’adhésion au programme fidélité n’était pas aisément accessible et était incomplète. La formation restreinte considère donc qu’un manquement aux articles 12 et 13 du RGPD est constitué.
99. Elle souligne néanmoins l’important travail de mise en conformité apporté par la société s’agissant des mentions d’information présentes sur son site web et sur ses bulletins papier. Elle constate que les nouvelles pratiques de la société sont, au jour de la séance, en conformité avec le Règlement. La société démontre aujourd'hui une information claire, transparente, aisément accessible et complète sur l’ensemble de ses supports.
D. Sur le manquement relatif au droit d’accès
100. L’article 15 du RGPD dispose que les personnes concernées ont le droit d’obtenir du responsable de traitement la confirmation que des données à caractère personnel les concernant sont traitées ainsi qu’un certain nombre d’informations parmi lesquelles toute information disponible quant à l’origine des données, lorsque celles-ci ne sont pas collectées directement par le responsable de traitement (article 15-1-g).
101. Dans la saisine no x du 21 janvier 2019, Monsieur […] expliquait avoir reçu, le 8 novembre 2018, un courrier de prospection électronique sans avoir communiqué ses coordonnées au groupe […] par le passé. Il indiquait avoir demandé le jour même l’origine des données personnelles le concernant détenues par la société. Le 15 novembre 2018, la société lui avait répondu en vue d’obtenir une copie de la pièce d’identité du plaignant qui a été communiqué au responsable de traitement le 21 novembre. Monsieur […] expliquait que, malgré plusieurs relances les 4 et 18 janvier 2019, aucune réponse n’a été apportée à sa demande, seule son opposition à recevoir de la prospection ayant été prise en compte.
102. Il ressort des constatations effectuées le 12 juin 2019 que ce plaignant était un ancien client de la société […], dont le site a, par la suite, été intégré au site […].
103. La société […] reconnaît ne pas avoir, dans un premier temps, communiqué au plaignant l’origine des données qu’elle détenait le concernant, considérant qu’elle traitait ces données personnelles dans le cadre d’une collecte directe, et non indirecte, et que l’origine des données figure parmi les informations devant être communiquées sur le fondement de l’article 15 du Règlement seulement en cas de collecte indirecte des données à caractère personnel.
104. Sur ce point, la formation restreinte relève que le plaignant avait précédemment créé un compte sur le site web […]. C’est à cette occasion que les données à caractère personnel le concernant avaient été collectées par la société […]. La formation restreinte considère que la fusion ultérieure entre le site web […] et le site […] ne donne pas à la société […] la qualité de primo-collectant des données à caractère personnel. En effet, les données à caractère personnel ont été transmises à la société […] par la société […], ce qui correspond au cas d’une collecte indirecte, les données n’ayant pas été collectées par […] auprès de la personne concernée. Dès lors, la formation restreinte considère que […] était tenu d’informer le plaignant de l’origine des données dans le cadre de sa demande d’accès, conformément à l’article 15-1-g) du RGPD.
105. La formation restreinte rappelle que le fait que le plaignant ait été informé de la fusion entre le site […] et le site […] préalablement à sa demande à la société ne dispensait pas le responsable de traitement de son obligation d’information sur l’origine des données, formulée par le plaignant dans le cadre de l’exercice de ses droits.
106. Il ressort de ces éléments qu’un manquement à l’article 15 du Règlement est constitué.
107. La formation restreinte souligne néanmoins que la société a fait droit à la demande du plaignant le 19 juin 2019, après le contrôle réalisé mais avant l’engagement de la procédure de sanction, et que le manquement n’était donc plus constitué au jour de la séance.
E. Sur le manquement relatif au droit à l’effacement
108. L’article 17 du Règlement définit les conditions dans lesquelles les personnes concernées ont droit à l’effacement de leurs données à caractère personnel. L’article 17-1-c), notamment, offre ce droit lorsque les données ne sont plus nécessaires au regard des finalités du traitement ou lorsque la personne s’oppose au traitement mis en œuvre à des fins de prospection.
109. La Commission a été saisie de plusieurs plaintes relatives aux difficultés rencontrées dans le cadre de l’exercice de ce droit.
110. Par la saisine no X du 8 juin 2018, Monsieur […] a saisi la CNIL, expliquant avoir demandé l’effacement de ses données sans obtenir de réponse favorable à sa demande, qui portait notamment sur l’effacement de son adresse de courrier électronique, utilisée par la société à des fins de prospection commerciale.
111. Les constatations opérées pendant le contrôle du 12 juin 2019 ont permis de constater la présence de l’adresse de courrier électronique du plaignant dans les bases de données de la société.
112. En défense, la société a expliqué que l’adresse électronique sert de clef d’entrée de la base en question et qu’elle ne peut donc être supprimée. Elle a en outre indiqué que la situation n’a entraîné aucun préjudice pour le plaignant, son opposition à la prospection ayant été prise en compte.
113. La formation restreinte souligne tout d’abord que la demande d’effacement de Monsieur […] du 28 mai 2018 était large et explicite : " je vous demande de supprimer toutes les données que vous pourriez avoir sur moi. Ces données seront rattachées à l’adresse mail […]@[…].com. "
114. La formation restreinte constate que la société a fait le choix d’utiliser comme clef d’entrée de sa base de données l’adresse électronique des personnes, donc une donnée à caractère personnel. Cette décision purement pratique, sans que la conservation de la donnée en question soit justifiée par une quelconque finalité légitime au regard des éléments du dossier, ne saurait lui permettre de s’exonérer de ses obligations en matière d’exercice des droits. La formation restreinte estime que Monsieur […] pouvait légitimement, sur le fondement de l’article 17-1 c) du Règlement, exiger l’effacement de ses données utilisées à des fins de prospection commerciale et il revenait dès lors à la société d’accéder à cette demande et de mettre en place un système d’organisation de sa base de données qui ne portait pas atteinte à ce droit. En l’espèce, la formation restreinte relève que la société n’a pas respecté ses obligations résultant de l’article 17 du Règlement.
115. La formation restreinte observe néanmoins que la société a modifié l’architecture de ses bases postérieurement à la notification du rapport de sanction. Le nouveau mode de fonctionnement n’utilise plus de donnée à caractère personnel comme clef d’entrée de la base, et il a été fait droit à la demande de Monsieur […].
116. Par la saisine no x du 7 juillet 2018, Madame […] a saisi la CNIL, expliquant avoir demandé à la société l’effacement de toutes les données à caractère personnel la concernant sans obtenir de réponse favorable à sa demande.
117. Les constatations opérées pendant le contrôle ont permis de constater la présence du nom, du prénom, de la date de naissance et du numéro de téléphone portable de la plaignante dans les bases de données de la société.
118. En défense, la société a expliqué que la présence de ces données résultait d’une erreur ponctuelle et qu’elle n’avait pas entraîné de conséquences pour la plaignante, son opposition à recevoir de la prospection commerciale ayant été prise en compte.
119. La formation restreinte considère que Madame […] pouvait légitimement, sur le fondement de l’article 17-1 c) du Règlement, exiger l’effacement de ses données utilisées à des fins de la prospection commerciale. Un manquement à l’article 17 du Règlement est donc constitué.
120. La formation restreinte relève néanmoins que la société a fait droit à la demande de Madame […] le 12 mai 2020.
121. Par la saisine no X du 19 janvier 2019, Monsieur […] a saisi la CNIL, expliquant avoir sollicité à deux reprises l’effacement de ses données et continuer néanmoins à recevoir de la prospection commerciale.
122. Les constatations opérées pendant le contrôle ont permis de constater la présence du nom, du prénom, de la date de naissance et des adresses postale et électronique du plaignant dans les bases de données de la société.
123. La société explique que les données relevées n’étaient pas intégrées à une base servant à la prospection commerciale. Elle avance que, dans le cas d’une opposition à la prospection, elle fait droit à cette demande mais n’efface pas les données des bases n’étant pas dédiées à la prospection.
124. La formation restreinte relève que la demande de Monsieur […], portant sur l’arrêt de la prospection commerciale et l’effacement des données, était dénuée de toute ambiguïté Dans un premier courriel adressé à la société, le plaignant expliquait " Je souhaite obtenir la clôture de mon compte ainsi conformément aux articles 38 et suivants de la loi " informatique et libertés " du 6 janvier 1978 modifiée, je vous remercie de supprimer l’ensemble de mes données personnelles rattachées à ce compte ". Dans un second courrier, il précisait " " Ainsi, je réitère ma demande : en application des articles 21.1 et 17.1.c du Règlement général sur la protection des données (RGPD), je vous remercie de supprimer les données personnelles me concernant sur les sites suivants : […] et […] ". Monsieur […] étant fondé à solliciter une telle suppression sur le fondement de l’article 17-1 c), il revenait à la société, sauf justification de cette dernière à conserver les données pour une finalité légitime, de faire droit à cette demande. Un manquement à l’article 17 du Règlement est donc constitué.
125. La formation restreinte relève néanmoins que, tout en contestant l’appréciation du rapporteur, la société a fait droit à la demande de Monsieur […] en procédant à l’effacement de toutes les données le concernant.
126. Par la saisine no X du 6 avril 2019, Monsieur […] a saisi la CNIL, expliquant avoir demandé à la société l’effacement de son adresse postale sans obtenir de réponse favorable à sa demande.
127. Les constatations opérées pendant le contrôle ont permis de constater la présence du nom, du prénom, de la date de naissance, des numéros de téléphone fixe et mobile et des adresses postale et électronique du plaignant dans les bases de données de la société.
128. La société explique que la présence de l’adresse postale du plaignant résulte d’une erreur ponctuelle et n’a pas entraîné de conséquence, son opposition à recevoir de la prospection commerciale ayant été prise en compte.
129. La formation restreinte estime que Monsieur […] pouvait légitimement, sur le fondement de l’article 17-1 c) du Règlement, exiger l’effacement de ses données. Un manquement à l’article 17 du Règlement est donc constitué.
130. La formation restreinte constate néanmoins que la société a rectifié son erreur dès qu’elle en a été informée, à la suite du contrôle réalisé le 11 juin 2019.
131. En conclusion sur ces manquements, la formation restreinte considère que si, après une demande d’effacement, certaines données personnelles des clients peuvent être conservées, notamment au titre des obligations légales ou à des fins probatoires ou lorsque que la société dispose d’un motif légitime impérieux, les données personnelles non nécessaires dans le cadre du respect de ces autres obligations ou finalités doivent être supprimées après l’exercice de ce droit dès lors que les conditions posées par l’article 17 du RGPD sont remplies. Elle relève à cet égard que tel était le cas pour le traitement ayant pour finalité la prospection et qu’il ne ressort pas des éléments de la procédure que la conservation des données en question était légitime sur un autre fondement.
132. Au demeurant, la formation restreinte rappelle que le responsable de traitement a l’obligation de se rapprocher de la personne concernée lorsqu’il estime que les demandes qu’il reçoit ne comportent pas tous les éléments lui permettant de procéder aux opérations qui lui sont demandées (article 142 du décret no 2019-536 du 29 mai 2019 pris pour l'application de la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, anciennement article 94 du décret no 2005-1309 du 20 octobre 2005). Dès lors, la formation restreinte estime que, si la société […] estimait que les demandes d’effacement étaient trop larges et qu’elle ne pouvait y faire droit sur le fondement d’un intérêt légitime supérieur ou parce que l’effacement n’était pas possible sur le fondement de l’article 17 du RGPD, il lui revenait de prendre l’attache des personnes concernées, ce qu’elle n’a pas fait en l’espèce.
133. En conséquence, dans chacun des cas précités, la société n’a pas respecté ses obligations résultant de l’article 17 du Règlement et qu’un manquement est caractérisé.
F. Sur le manquement relatif au droit d’opposition au traitement des données personnelles à des fins de prospection commerciale
134. Le deuxième paragraphe de l’article 21 du Règlement dispose que " lorsque les données à caractère personnel sont traitées à des fins de prospection, la personne concernée a le droit de s'opposer à tout moment au traitement des données à caractère personnel la concernant à de telles fins de prospection ".
135. Par la saisine no X du 1er octobre 2018, Monsieur […] a saisi la CNIL, expliquant avoir continué à recevoir des SMS publicitaires de la part de la société malgré une opposition précédemment exprimée au traitement de ses données personnelles à des fins de prospection commerciale.
136. Les constatations opérées pendant le contrôle du 11 juin 2019 ont permis de constater que l’opposition du plaignant n’avait pas été retranscrite dans les bases de données de la société, ne permettant ainsi pas sa prise en compte effective.
137. La société explique que cette erreur, ponctuelle, est due à une carence de son prestataire qui ne lui avait pas transmis l’opposition en question.
138. La formation restreinte relève qu’il ressort des constatations opérées lors du contrôle, comme des pièces communiquées par la société, que le prestataire […] communique à la société les oppositions exprimées par les personnes " au fil de l’eau ". Ces transmissions sont également compilées lors d’un envoi mensuel, seul pris en compte par la société pour retranscrire les oppositions en base de données, tel qu’elle l’a indiqué dans le cadre de la procédure. Il ressort des pièces communiquées par la société durant la procédure que l’opposition de Monsieur […] n’avait pas été transmise dans un envoi compilé au jour du contrôle, le 11 juin 2019. Pour autant, la formation restreinte souligne que la société avait reçu cette opposition dans le cadre de la transmission " au fil de l’eau " et qu’elle aurait donc dû cesser toute prospection commerciale envers le plaignant. En tout état de cause, la délégation a constaté que cette opposition n’avait pas été prise en compte au jour du contrôle.
139. Dès lors, un manquement à l’article 21 du Règlement est constitué.
140. La formation restreinte note néanmoins que cette erreur a été corrigée par la société lors du contrôle réalisé le 11 juin 2019. Elle souligne surtout que la société a déployé d’importants moyens pour revoir en profondeur la répercussion des oppositions exprimées par SMS dans ses bases de données dans le cadre de la présente procédure. Elle constate que les oppositions sont désormais directement reçues, traitées et retranscrites en base, assurant un meilleur respect des droits.
141. Par la saisine no X du 22 novembre 2018, Monsieur […] a saisi la CNIL, expliquant avoir continué à recevoir des SMS publicitaires de la part de la société malgré plusieurs oppositions précédemment exprimées.
142. Les constatations opérées pendant le contrôle ont permis de constater que l’opposition du plaignant n’avait pas été retranscrite dans les bases de données de la société.
143. La société explique que cette absence de retranscription provient d’une erreur humaine interne.
144. La formation restreinte considère en conséquence que la société n’avait pas respecté ses obligations résultant de l’article 21 du Règlement.
145. Elle note néanmoins que l’opposition du plaignant a été prise en compte et retranscrite en base de données lors du contrôle réalisé le 11 juin 2019.
146. En conclusion sur ces manquements, la formation restreinte considère que dans chacun des cas précités, la société n’a pas respecté ses obligations résultant de l’article 21 du Règlement et qu’un manquement était caractérisé au jour du contrôle dès lors que, si elle avait offert aux personnes concernées un moyen d’exercer leur droit d’opposition, celui-ci n’était pas systématiquement pris en compte. Elle souligne cependant que l’ensemble des plaintes ont été traitées par la société dans le cours de la procédure, soit immédiatement lors des contrôles, soit à la suite de ses échanges avec le rapporteur.
G. Sur le manquement relatif au droit d’opposition à la prospection par voie électronique
147. Le premier paragraphe de l’article L34-5 du code des postes et des communications électroniques dispose qu’ " est interdite la prospection directe au moyen de système automatisé de communications électroniques au sens du 6° de l'article L. 32, d'un télécopieur ou de courriers électroniques utilisant les coordonnées d'une personne physique, abonné ou utilisateur, qui n'a pas exprimé préalablement son consentement à recevoir des prospections directes par ce moyen. " Le quatrième paragraphe du même article pose cependant une exception à ce principe d’interdiction " si les coordonnées du destinataire ont été recueillies auprès de lui, dans le respect des dispositions de la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, à l'occasion d'une vente ou d'une prestation de services, si la prospection directe concerne des produits ou services analogues fournis par la même personne physique ou morale, et si le destinataire se voit offrir, de manière expresse et dénuée d'ambiguïté, la possibilité de s'opposer, sans frais, hormis ceux liés à la transmission du refus, et de manière simple, à l'utilisation de ses coordonnées au moment où elles sont recueillies et chaque fois qu'un courrier électronique de prospection lui est adressé au cas où il n'aurait pas refusé d'emblée une telle exploitation ".
148. Par la saisine no X du 4 janvier 2019, Monsieur […] a saisi la CNIL, expliquant avoir reçu de la prospection commerciale sans que le courriel lui permette de s’y opposer. En effet, le lien de désabonnement de la liste de diffusion le renvoyait, pour pouvoir s’opposer, à une page de connexion à un compte client. Or le plaignant ne disposait pas d’un tel compte, et ne pouvait donc pas s’opposer à la prospection commerciale.
149. Le rapporteur considère que la société a manqué à ses obligations découlant de l’article L34-5 du code des postes et des communications électroniques dès lors qu’elle n’a pas systématiquement offert aux destinataires de ses courriels de prospection un moyen simple et effectif de se désabonner dans les courriels en question.
150. La société reconnaît cette erreur mais estime qu’un manquement ne saurait être caractérisé à partir de cette unique occurrence.
151. Il ressort des explications fournies par la société lors du contrôle réalisé le 11 juillet 2019 qu’une telle erreur est effectivement intervenue dans un courriel de prospection adressé à plus de 350 000 personnes. La société indique que le lien de désinscription intégré au courriel de prospection renvoyait vers l’espace personnel du site […] permettant aux personnes disposant d’un compte client de se désinscrire. Par erreur, des personnes ne possédant pas de compte client ont été ciblées par cette campagne de prospection. Lorsque ces personnes ont cliqué sur le lien de désinscription, il leur a été demandé, pour pouvoir se désinscrire, de se connecter à un compte client dont elles ne disposaient pas.
152. La société explique avoir immédiatement repéré l’erreur parce qu’elle a reçu un grand nombre de plaintes de clients ne pouvant pas exercer correctement leurs droits. Elle affirme donc que cette erreur n’est intervenue qu’une fois, puisqu’elle n’a pas reçu d’autres réclamations similaires.
153. La formation restreinte considère que les personnes ne disposant pas d’un compte client n’ont pas pu s’opposer simplement à l’utilisation de leurs données personnelles à des fins de prospection commerciale. En conséquence, un manquement à l’article L34-5 du code des postes et des communications électroniques est constitué dès lors qu’aucun moyen de s’opposer à la prospection par voie électronique n’a été offert à ces personnes.