AgentPublic/cnil huggingface dataset:
154. La formation restreinte relève néanmoins que la société a mis en place un lien de désinscription unique ne nécessitant pas de passer par le compte client pour se désinscrire. Dès lors, elle estime que la société a mis en œuvre les mesures nécessaires pour que les droits des personnes soient respectés à l’avenir.
H. Sur le manquement relatif à la sécurité des données à caractère personnel
155. L’article 32 du RGPD dispose que " le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque ".
156. Le rapporteur fait grief à la société de ne pas avoir mis en place les mesures nécessaires à la protection des données à caractère personnel qu’elle traite après avoir eu connaissance de l’existence d’une vulnérabilité sur son site web.
157. Il ressort des déclarations de la société faites lors du contrôle du 11 juillet 2019 que, lors d’un achat sur le site […], une facture est mise à disposition du client sur son espace personnel après la livraison de la commande ou le retrait en magasin. Cette facture est accessible par une adresse URL fixe. Toute personne disposant de cette adresse peut accéder à la facture émise sans qu’il soit nécessaire de s’authentifier et de se connecter à son espace client.
158. La société a identifié cette vulnérabilité technique le 16 novembre 2018, consignée dans le registre des incidents de sécurité sous le numéro 415342. Pour pallier cette vulnérabilité, la société a décidé du développement de deux mesures : l’ajout d’une chaîne de caractères aléatoire et un mécanisme d’authentification préalable obligatoire. La première mesure devait, en augmentant le nombre d’adresses URL potentielles, réduire le risque d’une déduction de l’adresse par incrémentation permettant d’accéder aux factures. La seconde mesure empêchait totalement l’accès aux factures par toute personne autre que la personne concernée.
159. La première mesure a été mise en place très rapidement par la société. Au jour du contrôle réalisé, soit presque huit mois après la découverte de la vulnérabilité, la seconde mesure n’avait toujours pas été déployée, et l’accès à une facture demeurait possible par toute personne disposant de son adresse URL.
160. Sur ce point, la société indique qu’elle avait déjà déployé, au jour du contrôle, une première mesure suffisante réduisant fortement le risque d’accès aux documents, et que la seconde mesure était en cours de déploiement.
161. La formation restreinte considère que l’ajout d’une chaîne de caractères aléatoire ne suffit pas, à elle seule, à empêcher un accès indu aux données à caractère personnel de tiers. Cette mesure permet de réduire le risque mais ne le fait pas disparaitre, l’accès demeurant possible. Elle rappelle que l’Agence nationale de la sécurité des systèmes d’information (ANSSI) alerte depuis 2013 sur cette vulnérabilité liée aux adresses URL, même " dans le cas d’URL composées de plusieurs dizaines de caractères parfaitement aléatoires " (Recommandations pour la sécurisation des sites web, 13 août 2013, p. 16). La formation restreinte souligne que la société avait identifié la mesure adéquate à mettre en place dès novembre 2018 puisqu’elle avait prévu, dès cette date, le déploiement d’une authentification préalable obligatoire.
162. En conséquence, la formation restreinte considère que l’absence de mise en place de l’authentification préalable obligatoire à la suite de la découverte de la vulnérabilité – alors que cette mesure avait été identifiée et qu’elle est la seule mesure permettant d’empêcher complètement le risque – constitue un manquement à l’article 32 du Règlement.
163. La formation restreinte constate cependant que la société a mis en place une authentification obligatoire le 17 juillet 2019.
I. Sur le manquement relatif à la notification des violations de données à caractère personnel
164. L’article 33 du Règlement dispose qu’ " en cas de violation de données à caractère personnel, le responsable du traitement en notifie la violation en question à l'autorité de contrôle compétente conformément à l'article 55, dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, à moins que la violation en question ne soit pas susceptible d'engendrer un risque pour les droits et libertés des personnes physiques ".
165. Le rapporteur estime que la société a manqué à son obligation de notifier les violations de données à caractère personnel, cette obligation ressortant des circonstances de la violation et des données concernées.
166. Il ressort des constatations effectuées lors du contrôle du 11 juillet 2019 que la société a identifié et consigné une attaque informatique dont elle avait été victime le 1er juillet 2019. Cette attaque, utilisant le service d’authentification de l’application mobile du groupe, a pris la forme de 800 000 tentatives de connexion à partir de 10 000 adresses IP. Elle a abouti à 4 000 authentifications réussies et à 275 accès effectifs aux comptes de clients. Cette violation n’a pas été notifiée à la CNIL.
167. En défense, la société a indiqué que la violation était peu susceptible d’engendrer un risque pour les droits et libertés des personnes. Elle précise également que les personnes concernées n’ont subi aucun préjudice financier puisqu’aucun point de fidélité n’a été soustrait. Elle souligne qu’en toute hypothèse, les conditions générales d'utilisation de la carte […] prévoient le remboursement des cagnottes des personnes concernées en cas d’attaque par des tiers.
168. La formation restreinte rappelle qu’en cas de violation de données à caractère personnel, le principe est celui de la notification à l’autorité de contrôle. L’absence de notification n’est possible que par exception, lorsque la violation n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes. En l’espèce, la formation restreinte considère que l’analyse des risques liés à cette violation n’amène pas à faire application de cette exception à l’obligation de notification. En effet, la gravité de la violation découle de l’origine à l’évidence malveillante de cette attaque, du grand nombre de personnes concernées et de la combinaison de plusieurs données personnelles auxquelles l’attaque a permis d’accéder et qui permettent l’identification et le contact direct des personnes concernées (les comptes clients pouvant comporter notamment l’identité des personnes, leur numéro de téléphone, leur adresse électronique et leur adresse physique).
169. La formation restreinte relève que les 4 000 comptes pour lesquels aucun accès effectif n’a été constaté mais qui ont fait l’objet d’une authentification réussie doivent être regardés comme participant à l’appréciation du risque. En effet, la formation restreinte rappelle que de nombreuses personnes utilisent une combinaison d’adresse électronique et de mot de passe identique sur un très grand nombre de sites web. Il existait donc un risque sérieux que les attaquants ayant identifié un couple adresse électronique/mot de passe " valide " essaient de le réutiliser sur d’autres sites web (technique appelée credential stuffing). Le risque existait également que, disposant désormais de plusieurs informations sur les personnes concernées et leurs relations avec les sociétés du groupe […], les attaquants tentent d’usurper l’identité d’une de ces sociétés dans des courriels malveillants et trompeurs (hameçonnage). Ces comptes doivent donc être considérés comme concernés par la violation.
170. En conséquence, la formation restreinte considère qu’un manquement à l’article 33 du RGPD est constitué.
171. Elle souligne néanmoins que, malgré une divergence d’appréciation avec le rapporteur et dans un objectif de conformité, la société a notifié la violation à la CNIL le 19 juillet 2020 et était ainsi en conformité au jour de la séance.
J. Sur le manquement relatif aux cookies
172. L’article 82 de la loi informatique et libertés (article 32.II dans une rédaction identique au jour des constatations) impose que les utilisateurs soient informés et que leur consentement soit recueilli avant toute opération d’accès ou d’inscription à des informations déjà stockées dans son équipement. Tout dépôt de cookie ou autres traceurs doit donc être précédé de l’information et du consentement des personnes. Cette exigence ne s’applique pas aux cookies ayant " pour finalité exclusive de permettre ou faciliter la communication par voie électronique " ou étant " strictement nécessaire à la fourniture d'un service de communication en ligne à la demande expresse de l'utilisateur ".
173. Le rapporteur considère que la société ne respectait pas ces dispositions dès lors qu’il ressort du contrôle en ligne du 24 mai 2019 qu’en arrivant site web […] plusieurs cookies ne rentrant pas dans les deux cas rappelés ci-avant étaient déposés sur le terminal de l’utilisateur dès la connexion à la page d’accueil du site et avant toute action de sa part.
174. La société ne conteste pas ces éléments.
175. La formation restreinte relève qu’en l’espèce, le dépôt de trente-neuf cookies était automatique dès l’arrivée sur la page d’accueil du site, et avant tout action de l’utilisateur. Parmi ces trente-neuf cookies, trois appartenaient à la solution Google Analytics (cookies " _gid ", " _ga " et " _gat_gtag_UA_3928615_46 ").
176. S’agissant de ces trois cookies, dits Google analytics, la formation restreinte souligne qu’il ne fait pas débat que les données collectées par ces cookies peuvent être recoupées avec des données issues d'autres traitements pour poursuivre des finalités différentes que celles limitativement prévues par l’article 82 de la loi " informatique et libertés ", notamment pour mener à bien de la publicité personnalisée. En effet, il ressort du guide pratique " Association des comptes Analytics et Google Ads ", mis en ligne sur un des sites de la société Google, que " l’intégration de Google Analytics dans Google Ads (…) permet [aux annonceurs] de savoir précisément dans quelle mesure [leurs] annonces se traduisent par des conversions, puis d’ajuster rapidement les créations et les enchères en conséquence. [Les annonceurs peuvent] également combiner les produits afin d’identifier [leurs] segments les plus intéressants, puis susciter l’intérêt de ces utilisateurs à l’aide de messages personnalisés ".
177. Dès lors, ces cookies n’ont pas pour finalité exclusive de permettre ou de faciliter la communication par voie électronique et ne sont pas strictement nécessaires à la fourniture du service. Leur dépôt aurait donc dû obliger la société à recueillir préalablement le consentement des utilisateurs.
178. La formation restreinte considère, en conséquence, qu’un manquement à l’article 82 de la loi no 78-17 du 6 janvier 1978 est constitué. Elle considère également que ce manquement a concerné un grand nombre de personnes, à savoir tous les visiteurs du site […].
179. La formation restreinte souligne néanmoins que la société a apporté d’importantes modifications sur son site web durant la procédure de sanction. Ces modifications ont amené, notamment, à l’arrêt du dépôt automatique de cookies à l’arrivée sur la page d’accueil du site depuis le 5 février 2020.
III. Sur les mesures correctrices et la publicité
180. Aux termes du III de l’article 20 de la loi du 6 janvier 1978 :
" Lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l'informatique et des libertés peut également, le cas échéant après lui avoir adressé l'avertissement prévu au I du présent article ou, le cas échéant en complément d'une mise en demeure prévue au II, saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l'une ou de plusieurs des mesures suivantes : […]
7° À l'exception des cas où le traitement est mis en œuvre par l'État, une amende administrative ne pouvant excéder 10 millions d'euros ou, s'agissant d'une entreprise, 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l'article 83 du règlement (UE) 2016/679 du 27 avril 2016, ces plafonds sont portés, respectivement, à 20 millions d'euros et 4 % dudit chiffre d'affaires. La formation restreinte prend en compte, dans la détermination du montant de l'amende, les critères précisés au même article 83. "
181. L’article 83 du RGPD prévoit :
" 1. Chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour des violations du présent règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives.
2. Selon les caractéristiques propres à chaque cas, les amendes administratives sont imposées en complément ou à la place des mesures visées à l'article 58, paragraphe 2, points a) à h), et j). Pour décider s'il y a lieu d'imposer une amende administrative et pour décider du montant de l'amende administrative, il est dûment tenu compte, dans chaque cas d'espèce, des éléments suivants :
j) l'application de codes de conduite approuvés en application de l'article 40 ou de mécanismes de certification approuvés en application de l'article 42 ; et
k) toute autre circonstance aggravante ou atténuante applicable aux circonstances de l'espèce, telle que les avantages financiers obtenus ou les pertes évitées, directement ou indirectement, du fait de la violation. "
182. Sur les injonctions et la conformité, la formation restreinte souligne que la société a corrigé l’ensemble des manquements relevés dans le rapport de sanction au cours de la procédure. Sa conformité étant démontrée à ce jour, la formation restreinte considère qu’aucune injonction ne se justifie.
183. Sur le prononcé d’une amende et son montant, la formation restreinte estime que, dans le cas d’espèce, les manquements précités justifient que soit prononcée une amende administrative à l’encontre de la société.
184. Concernant l’amende proposée par le rapporteur, la société soutient d’abord que le montant de l’amende proposée est excessif, plusieurs manquements n’étant, selon elle, pas constitués. Sur ce point, la formation restreinte considère que l’ensemble des manquements relevés par le rapporteur sont caractérisés en l’espèce, comme elle l’a détaillé précédemment dans les motifs de la décision.
185. La société soutient ensuite que les facteurs d’atténuation posés par l’article 83 du Règlement doivent amener à réduire le montant proposé par le rapporteur et que l’important travail de mise en conformité opéré doit être pris en compte.
186. La formation restreinte analyse les critères dressés par l’article 83 de la manière suivante.
187. S’agissant de la nature, de la gravité et de la durée de la violation, elle considère que ce critère est particulièrement caractérisé pour plusieurs manquements, notamment ceux relatifs aux durées de conservation des données personnelles, aux modalités d’exercice de droit et au dépôt de cookies. S’agissant du manquement relatif au droit à l’effacement et à l’opposition à la prospection, la formation restreinte relève le caractère résiduel de ces cas au regard du nombre important de demandes d’effacement auxquelles le responsable de traitement a fait face depuis l’entrée en application du RGPD. Elle souligne que le nombre de plaintes reçues par la Commission est limité et résulte, à chaque fois, de défaillances isolées. Elle reconnaît les modifications apportées par la société pour se mettre en conformité sur ce point ainsi que pour internaliser la prise en compte de l’opposition des personnes et améliorer le traitement des demandes et le respect des droits. S’agissant du manquement relatif à la sécurité des données, la formation restreinte estime que la gravité de ce manquement est atténuée par la mise en œuvre rapide de mesures limitant pour partie la survenance du risque. S’agissant enfin de l’opposition à la prospection par voie électronique, la formation restreinte note que l’incident était ponctuel. Concernant le nombre de personnes concernées, ce critère est particulièrement aggravant pour le manquement relatif à la durée de conservation des données, qui a
concerné plusieurs millions de personnes, pour l’information, puisque chaque personne ayant adhéré au programme fidélité ou ayant créé un compte sur le site […] a été concernée, et pour le manquement relatif aux cookies, puisque des cookies ont été déposés sans consentement sur le terminal des 1,7 millions de visiteurs unique du site. Ce critère est, en revanche atténuant s’agissant des difficultés rencontrées lors de l’exercice du droit d’accès (trois personnes concernées), du droit à l’effacement des données (quatre personnes concernées), du droit d’opposition (deux personnes concernées) et de l’opposition à la prospection par voie électronique (350 personnes concernées sur les 350 000 personnes ciblées par la campagne). Sur l’ensemble des manquements, la formation restreinte considère le niveau de dommage subi comme peu important.
188. La formation restreinte relève que la plupart des manquements résultent de négligences, d’erreurs ponctuelles ou d’un manque d’anticipation des conséquences de l’entrée en application du Règlement.
189. S’agissant des mesures prises par le responsable du traitement pour atténuer le dommage subi par les personnes concernées, la formation restreinte note la parfaite coopération de la société tout au long de la procédure de sanction et les efforts très importants engagés afin d’atteindre une conformité totale au jour de la séance. Elle relève que l’ensemble des manquements ont été corrigés à ce jour.
190. S’agissant du degré de coopération avec l’autorité de contrôle, la formation restreinte constate la parfaite coopération de la société, tant dans la facilitation des investigations de la CNIL que dans la prise en compte, avant même la décision de la formation restreinte, des observations du rapporteur. Elle relève également que la société s’est conformée à l’analyse juridique du rapporteur sur l’ensemble des manquements relevés, même dans les cas où une divergence d’opinion demeurait.
191. S’agissant des catégories de données à caractère personnel concernées, la formation restreinte relève qu’aucune donnée sensible n’était concernée par les traitements.
192. S’agissant de la manière dont l'autorité de contrôle a eu connaissance de la violation, la formation restreinte relève que des plaintes sont, pour nombre de manquements, à l’origine de son action.
193. S’agissant des avantages tirés des manquements, la formation restreinte estime que la société n’en a tiré aucun avantage financier. Elle a démontré notamment que, même lorsque les durées de conservation des données étaient dépassées, elles ne pouvaient pas être utilisées à des fins de prospection. Elle a en outre engagé des moyens financiers conséquents pour se mettre en conformité pendant la procédure de sanction.
194. En conclusion, la formation restreinte relève le nombre et la gravité des manquements à certaines obligations essentielles d’un responsable de traitement, comme l’information ou le respect des droits des personnes. Elle relève également que certains manquements étaient structurels. Tel était le cas, par exemple, du sous-dimensionnement des moyens engagés pour répondre aux demandes d’exercice de droit, entraînant de manière récurrente des délais de réponse anormalement longs sans que les personnes soient informées du traitement de leur demande, ou le retard pris dans la purge des données à caractère personnel dont la durée de conservation était expirée. Sur ces points, la formation restreinte souligne également le nombre particulièrement important de personnes concernées au regard des plusieurs dizaines de millions de clients dont les données personnelles figurent dans les bases de données de la société. La formation restreinte note enfin que les manquements ont été portés à son attention en raison d’un grand nombre de plaintes reçues par la CNIL concernant ce responsable de traitement. Ce volume important de plaintes est d’ailleurs à l’origine de la décision de diligenter un contrôle à l’encontre de cette société.
195. Dès lors, la formation restreinte considère qu’une amende doit être prononcée.
196. Sur l’assiette de l’amende, la société conteste en outre le mode de calcul de l’assiette de la sanction.
197. Sur ce point, la formation restreinte rappelle que l’article 83-5 du Règlement dispose que le montant des amendes prononcées pour les manquements retenus peut s’élever " dans le cas d'une entreprise, jusqu'à 4 % du chiffre d'affaires annuel mondial total de l'exercice précédent ". Elle souligne que le considérant 150 du Règlement précise que " lorsque des amendes administratives sont imposées à une entreprise, ce terme doit, à cette fin, être compris comme une entreprise conformément aux articles 101 et 102 du traité sur le fonctionnement de l'Union européenne ". La formation restreinte considère donc que le Règlement fait une référence directe et explicite, dans le contexte particulier de la détermination du montant des amendes, au droit de la concurrence que concernent les articles 101 et 102 du traité sur le fonctionnement de l'Union européenne (ci-après " le TFUE "). La formation restreinte rappelle que les lignes directrices sur l’application et la fixation des amendes administratives aux fins du règlement 2016/679, adoptées le 3 octobre 2017 par le G29, précisent à ce sujet que " pour infliger des amendes effectives, proportionnées et dissuasives, les autorités de contrôle s’en remettront à la définition de la notion d’entreprise fournie par la CJUE aux fins de l’application des articles 101 et 102 du traité FUE, à savoir que la notion d’entreprise doit s’entendre comme une unité économique pouvant être formée par la société mère et toutes les filiales concernées.
Conformément au droit et à la jurisprudence de l’Union, il y a lieu d’entendre par entreprise l’unité économique engagée dans des activités commerciales ou économiques, quelle que soit la personne morale impliquée (considérant 150). "
198. La formation restreinte considère que les filiales détenues par la société […] et bénéficiant des traitements doivent être considérées comme concernées au sens des lignes directrices précitées. En effet, dans le contexte du droit de la concurrence auquel le considérant 150 du Règlement fait directement référence, une entreprise " doit être comprise comme désignant une unité économique même si, du point de vue juridique, cette unité économique est constituée de plusieurs personnes physiques ou morales " (arrêt du 12 juillet 1984, Hydrotherm, 170/83, Rec. p. 2999, point 11 , repris dans l’arrêt Confederación Española de Empresarios de Estaciones de Servicio, ECLI:EU:C:2006:784, point 40).
199. La formation restreinte rappelle également que les amendes prononcées doivent avoir un caractère dissuasif. Au regard de cette exigence, il a été jugé que " une imputation de la responsabilité au successeur économique est justifiée aux fins de la mise en œuvre efficace des règles de la concurrence. En effet, si la Commission ne disposait pas d’une telle faculté, il serait aisé pour des entreprises de pouvoir échapper à des sanctions par des restructurations, des cessions ou d’autres changements juridiques ou organisationnels. L’objectif de réprimer les comportements contraires aux règles de la concurrence et d’en prévenir le renouvellement au moyen de sanctions dissuasives serait ainsi compromis " (arrêt du Trib. UE, 29 février 2016, Schenker contre Commission européenne, affaire T-265/12, point 193).