AgentPublic/cnil huggingface dataset:
En ce qui concerne les clients, le rapporteur reprochait à la société de ne pas les informer, au sein de la politique de confidentialité des données, accessible sur le site web de la société ainsi que via un lien présent sur le formulaire de création de compte, que leurs données sont transférées vers Madagascar, dans le cadre des appels téléphoniques. Il reprochait également à la société de ne citer au sein de ces documents qu’une seule base juridique pour tous ses traitements, à savoir le consentement, alors que certains traitements reposaient sur une base légale différente.
Le rapporteur relevait, dans ses observations du 7 novembre 2019, que malgré les affirmations de la société, la politique de confidentialité n’avait pas été corrigée afin d’y faire figurer le transfert de données à Madagascar.
S’agissant des bases juridiques du traitement, la société a affirmé qu’elle fondait ses traitements sur le consentement des personnes, ce qui, selon elle, ne pouvait lui être reproché dans la mesure où cette base légale est plus protectrice pour les personnes et que par conséquent un manquement au défaut d’information des personnes ne pouvait être retenu à son encontre en ce qui concerne ces faits.
La formation restreinte relève qu’il ressort des indications de la société relatives aux différents traitements mis en œuvre que plusieurs d’entre eux, à savoir, par exemple, la lutte contre la fraude ou encore ceux mis en œuvre dans le cadre des achats effectués sur le site web de la société, ne peuvent reposer sur le consentement des personnes, mais, comme l’a indiqué le rapporteur, sur le contrat ou les intérêts légitimes poursuivis par la société. Rappelant que le considérant 41 du RGPD exige que la base légale du traitement soit claire et précise , elle considère que la société ne peut viser uniquement au sein de sa politique de confidentialité des données la base juridique du consentement pour l’intégralité des traitements mis en œuvre.
Par conséquent, si la société a effectivement, comme les textes l’exigent, intégré une information sur la base légale et eu le souci de retenir la base la plus protectrice, selon elle, des droits des personnes, la formation restreinte rappelle que l’article 13 du RGPD exige une information granulaire relative à la base juridique de chaque traitement. Elle ne peut dès lors que relever que la société ne s’est pas entièrement conformée aux dispositions de cet article en s’abstenant d’indiquer, pour chaque traitement mis en œuvre, la base légale correspondante au sein de sa politique de confidentialité.
Par ailleurs, la formation restreinte prend acte des modifications apportées sur son site internet, s’agissant du transfert de données à Madagascar. Elle considère cependant qu’un manquement à l’article 13 du RGPD est constitué jusqu’au 18 novembre 2019, date à laquelle la société indique avoir apporté des modifications à son site internet.
En ce qui concerne les salariés, le rapporteur reproche à la société de ne pas les informer individuellement de l’enregistrement de leurs appels téléphoniques.
La société soutient que les salariés sont informés de l’enregistrement des appels téléphoniques passés avec les clients, grâce à plusieurs documents, telle qu’une attestation de présence information projet écoute téléphonique datée du 14 janvier 2016, un document de mai 2014 ainsi que des fiches d’évaluation de performance datées de 2017. La société a également fourni des attestations de trois conseillers clientèles affirmant qu’ils ont pris connaissance du document daté du 14 janvier 2016, qu’ils ont compris le but de ces écoutes et qu’ils peuvent contacter le service juridique pour des informations complémentaires.
La formation restreinte rappelle que l’information des salariés de la mise en place de dispositifs d’écoute et d’enregistrement des conversations téléphoniques sur le lieu de travail est fondamentale et est liée au caractère loyal et transparent de tout traitement mis en œuvre par un responsable de traitement. Comme il l’est indiqué au considérant 39 du RGPD, le principe de transparence exige que toute information et communication relatives au traitement de ces données à caractère personnel soient aisément accessibles, faciles à comprendre, et formulées en des termes clairs et simples .
L’obligation de transparence oblige la société à fournir une information relative à un tel dispositif à chaque salarié, celle-ci ne pouvant se satisfaire d’une seule information, comme en l’espèce en 2016, qui ne serait pas fournie aux nouveaux salariés employés par la suite.
Au demeurant, la formation restreinte relève également que l’article L. 1222-4 du code du travail dispose qu’ aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance . En outre, la Commission a rappelé à plusieurs reprises, et notamment dans un guide pour les employeurs et les salariés disponible sur son site web ainsi que dans une recommandation n° 2014-474 du 27 novembre 2014 relative à l’enregistrement des appels sur le lieu de travail, que les salariés doivent se voir fournir un certain nombre d’informations s’agissant des traitements mis en œuvre par les employeurs.
Enfin, la formation restreinte relève que les documents produits par la société ne permettent pas de fournir aux salariés une information relative aux finalités poursuivies par le traitement, à la base légale du dispositif, aux destinataires des données issues du dispositif, à la durée de conservation des données, à leurs droits notamment d’accès aux données les concernant ainsi qu’à la possibilité d’introduire une réclamation auprès de la CNIL, garantissant une information complète des salariés conformément à l’article 13 du RGPD.
La formation restreinte considère donc, au vu de ces éléments, qu’un manquement à l’article 13 du RGPD est constitué.
D.Un manquement à l’obligation d’assurer la sécurité des données
1.L’absence de sécurité relative aux mots de passe d’accès aux comptes clients
L’article 32-1du Règlement dispose : Compte tenu de l'état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque et notamment des moyens permettant de garantir la confidentialité, l'intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement .
Le responsable du traitement doit ainsi, conformément à l’article 32-2 du RGPD, tenir compte des risques que présente le traitement, résultant notamment de la destruction, de la perte, de l’altération, de la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées d’une autre manière, ou de l’accès non autorisé à de telles données, de manière accidentelle ou illicite.
La délégation de la CNIL a constaté, lors du contrôle du 31 mai 2018, que les personnes souhaitant créer un compte utilisateur sur le site web de la société pouvaient créer un mot de passe composé de six caractères comportant une seule catégorie de caractères. Lors de l’audition du 19 juin 2019, la société a précisé que, depuis le contrôle de la CNIL, une mesure de blocage d’une minute du compte a été mise en place, après 19 tentatives d’accès infructueuses à un compte à partir d’une même adresse IP en moins d’une minute.
En défense, la société fait valoir qu’elle a modifié les règles de constitution des mots de passe des comptes et exige désormais de ses clients qu’ils créent des mots de passe composés d’au moins huit caractères. Elle remet également en cause les préconisations de la CNIL en la matière et soutient que les recommandations techniques en termes de sécurisation des mots de passe issues de la délibération n° 2017-190 du 22 juin 2017 de la Commission font l’objet de contestations par des experts en cybersécurité. Soutenant que des règles trop complexes ont entraîné une standardisation des mots de passe, elle a préféré opter pour l’imposition de mots de passe courts et plus simples, ceux-ci étant moins prévisibles pour un éventuel attaquant, l’aléa étant basé sur une logique humaine.
Le rapporteur soutient que des mots de passe, composés de six ou huit caractères, sans critère de complexité, ne sont pas suffisamment robustes et ne permettent pas d’assurer la sécurité des données traitées par la société. Il considère que de tels mots de passe ne permettent pas d’empêcher des attaques par force brute qui consistent à tester successivement et de façon systématique de nombreux mots de passe et peuvent conduire, ainsi, à une compromission des comptes associés et des données personnelles qu’ils contiennent.
La formation restreinte considère que, contrairement à ce que soutient la société, la longueur et la complexité d’un mot de passe demeurent des critères élémentaires permettant d’apprécier la force de celui-ci. Elle rappelle que, pour assurer un niveau de sécurité suffisant et satisfaire aux exigences de robustesse des mots de passe, lorsqu’une authentification repose uniquement sur un identifiant et un mot de passe, le mot de passe doit comporter au minimum douze caractères - contenant au moins une lettre majuscule, une lettre minuscule, un chiffre et un caractère spécial - ou le mot de passe doit comporter au moins huit caractères - contenant trois de ces quatre catégories de caractères - et être accompagné d’une mesure complémentaire comme par exemple la temporisation d’accès au compte après plusieurs échecs (suspension temporaire de l’accès dont la durée augmente à mesure des tentatives), la mise en place d’un mécanisme permettant de se prémunir contre les soumissions automatisées et intensives de tentatives (ex : captcha ) et/ou le blocage du compte après plusieurs tentatives d’authentification infructueuses.
La formation restreinte relève que la nécessité d’un mot de passe fort est également soulignée par l’ANSSI, qui indique qu’ un bon mot de passe est avant tout un mot de passe fort, c’est à dire difficile à retrouver même à l’aide d’outils automatisés. La force d’un mot de passe dépend de sa longueur et du nombre de possibilités existantes pour chaque caractère le composant. En effet, un mot de passe constitué de minuscules, de majuscules, de caractères spéciaux et de chiffres est techniquement plus difficile à découvrir qu’un mot de passe constitué uniquement de minuscules .
En l’espèce, elle considère que la robustesse d’un mot de passe composé de huit caractères et de seulement une catégorie de caractères, est très faible et que la société ne démontre à aucun moment en quoi un mot de passe court et simple serait susceptible de résister davantage à une attaque par force brute qu’un mot de passe composé de davantage de caractères ainsi que plusieurs catégories de caractères.
La formation restreinte considère, par conséquent, que les mots de passe mis en place par la société pour accéder aux comptes crées sur son site web ne correspondent pas aux exigences requises en termes de robustesse.
2.La demande de transmission de la copie des cartes bancaires
Il a été constaté, lors du contrôle du 31 mai 2018, que la société demande à ses clients, dans le cadre de la lutte contre la fraude, de lui transmettre par mail un scan de la carte bancaire utilisée lors de la commande. Pour ses clients en France, un courriel précisant sur les 16 chiffres de la face avant merci de laisser apparaître au minimum les 4 premiers et les 4 derniers, la date de validité et le nom du titulaire devront apparaître clairement est alors adressé aux personnes. Des courriels effectuant une telle demande sont également adressés aux personnes effectuant des commandes sur les sites italiens, espagnols, hongrois, slovaques, danois et grecs. il a été constaté que la société conservait les scans de cartes bancaires non occultés.
Le rapporteur considère ainsi que le courriel de la société adressé aux personnes, particulièrement aux français, incite à fournir une copie intégrale de la carte de paiement au lieu d’inviter les clients à cacher un minimum de numéros de leur carte bancaire.
Il a en outre été constaté que les scans des cartes bancaires sont conservés par la société en clair pendant six mois à compter de l’enregistrement des documents, en cas de litige.
Par courrier du 28 juin 2019, la société a indiqué qu’une plateforme en ligne dédiée à l’envoi des pièces justificatives serait mise en place fin août 2019. Par ailleurs, la société soutient qu’elle a été autorisée par la CNIL à mettre en œuvre un traitement ayant pour finalité la lutte contre la fraude et qu’elle peut valablement collecter les dates de fin de validité et les numéros de carte bancaire tronqués.
En premier lieu, la formation restreinte relève que la société a bien été autorisée par délibération de la CNIL du 2 juillet 2009 à traiter le numéro de carte bancaire tronqué ainsi que la date de fin de validité, dans le cadre de la mise en œuvre d’un traitement ayant pour finalité la lutte contre la fraude. Cependant, il est établi que la société traitait les copies des cartes bancaires des clients contenant l’intégralité des numéros, alors qu’elle n’était autorisée à traiter qu’une partie tronquée de ceux-ci. La formation restreinte considère donc que l’autorisation délivrée par la CNIL ne peut justifier le traitement de l’intégralité des numéros des cartes bancaire des clients.
En second lieu, la formation restreinte relève qu’il a été constaté par la délégation de la CNIL que le dispositif mis en place par la société permettait aux clients d’envoyer en clair, par courriel non chiffré à partir de leur boîte électronique, des photographies ou des scans de leur carte bancaire contenant l’intégralité du numéro de la carte bancaire et que de telles données étaient conservées, au même titre que les justificatifs demandés dans le cadre de la lutte contre la fraude, pendant six mois, en clair dans la base de données.
Dans ces conditions, la formation restreinte considère que la société n’a pas mis en place, au moins jusqu’en août 2019, des mesures de sécurité permettant de garantir la sécurité des données bancaires de ses clients.
Sur la base de l’ensemble de ces éléments, la formation restreinte considère que le manquement à l’article 32 du Règlement est constitué.
E.Sur les mesures correctrices et leur publicité
Aux termes du III de l’article 20 de la loi du 6 janvier 1978 modifiée :
Lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l'informatique et des libertés peut également, le cas échéant après lui avoir adressé l'avertissement prévu au I du présent article ou, le cas échéant en complément d'une mise en demeure prévue au II, saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l'une ou de plusieurs des mesures suivantes : […]
2° Une injonction de mettre en conformité le traitement avec les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi ou de satisfaire aux demandes présentées par la personne concernée en vue d'exercer ses droits, qui peut être assortie, sauf dans des cas où le traitement est mis en œuvre par l'État, d'une astreinte dont le montant ne peut excéder 100 000 € par jour de retard à compter de la date fixée par la formation restreinte ; […]
7° À l'exception des cas où le traitement est mis en œuvre par l'État, une amende administrative ne pouvant excéder 10 millions d'euros ou, s'agissant d'une entreprise, 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l'article 83 du règlement (UE) 2016/679 du 27 avril 2016, ces plafonds sont portés, respectivement, à 20 millions d'euros et 4 % dudit chiffre d'affaires. La formation restreinte prend en compte, dans la détermination du montant de l'amende, les critères précisés au même article 83.
L’article 83 du RGPD prévoit :
1. Chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour des violations du présent règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives.
2. Selon les caractéristiques propres à chaque cas, les amendes administratives sont imposées en complément ou à la place des mesures visées à l'article 58, paragraphe 2, points a) à h), et j). Pour décider s'il y a lieu d'imposer une amende administrative et pour décider du montant de l'amende administrative, il est dûment tenu compte, dans chaque cas d'espèce, des éléments suivants :
j) l'application de codes de conduite approuvés en application de l'article 40 ou de mécanismes de certification approuvés en application de l'article 42 ; et
k) toute autre circonstance aggravante ou atténuante applicable aux circonstances de l'espèce, telle que les avantages financiers obtenus ou les pertes évitées, directement ou indirectement, du fait de la violation.
En premier lieu, concernant l’amende proposée par le rapporteur, la société soutient qu’elle n’a jamais été condamnée par la CNIL, qu’elle disposait de peu de référentiels avant l’entrée en application du RGPD et que la Commission avait annoncé une période de tolérance en ce qui concerne les nouveaux manquements au RGPD, tels que la minimisation ou la pseudonymisation des données.
La formation restreinte estime que, dans le cas d’espèce, les manquements précités justifient que soit prononcée une amende administrative à l’encontre de la société pour les motifs suivants.
Tout d’abord, elle constate que, contrairement à ce que soutient la société, les manquements retenus portent, pour l’essentiel, sur des obligations que la loi no 78-17 du 6 janvier 1978 modifiée imposait déjà aux responsables de traitement et qui ne sont pas nées du RGPD, y compris s’agissant du principe de minimisation et de limitation de la durée de conservation des données. Elle rappelle, en outre, que les questions relatives à la pseudonymisation des données étaient posées bien avant l’entrée en application du RGPD.
Ensuite, elle relève que plusieurs de ces manquements concernent des salariés et notamment leur droit à bénéficier d’une information sur les traitements de leurs données à caractère personnel. Là encore, la formation restreinte rappelle qu’il ne s’agit pas d’une nouveauté instaurée à la suite de l’entrée en application du RGPD.
Enfin, elle souligne que les données bancaires sont des données devant faire l’objet d’une vigilance particulière par les responsables de traitement et que la Commission n’a cessé de les accompagner sur ce sujet depuis de nombreuses années.
En deuxième lieu, la société souligne sa coopération avec le rapporteur et les mesures mises en place, ainsi que certaines sanctions précédemment prononcées par la formation restreinte. Elle considère également qu’un manque de célérité ne peut lui être reproché alors que l’audition est intervenue un an après le contrôle effectué dans ses locaux et alors qu’aucune mise en demeure ne lui a été notifiée dans ce laps de temps.
La formation restreinte relève que si plusieurs mesures ont été mises en place par la société afin de remédier en totalité ou en partie à certains manquements, celles-ci n’ont été adoptées qu’à la suite du contrôle de la CNIL le 31 mai 2018, en ce qui concerne la mise en place de durées de conservation des données des clients et des prospects et qu’à la suite de l’audition du 19 juin 2019, et du rapport, s’agissant de la suppression des enregistrements contenant des coordonnées bancaires des clients et l’information des personnes sur le site web relative au transfert de leurs données hors de l’Union européenne.
Ensuite, la formation restreinte considère que la gravité de certains manquements est caractérisée. Plus particulièrement s’agissant du manquement relatif à l’enregistrement des conversations téléphoniques, la formation restreinte relève que la société a enregistré pendant plusieurs années l’intégralité des conversations téléphoniques de ses salariés, alors même qu’elle n’en n’avait aucune utilité et qu’un tel traitement peut s’apparenter à une surveillance constante. Elle relève également que l’information des salariés quant à la mise en place du dispositif d’enregistrement des appels est particulièrement défaillante, celle-ci étant soit incomplète avant 2016, soit inexistante pour les salariés engagés par la société postérieurement.
Par ailleurs, la gravité des manquements est caractérisée au vu de la catégorie particulière de données à caractère personnel traitées par la société, à savoir les données bancaires qui sont considérées comme étant des données exposant les personnes à un risque de fraude, donc de préjudice, et doivent, de ce fait, faire l’objet d’une vigilance particulière. Enfin, la formation restreinte considère également que la gravité est caractérisée en raison du nombre de personnes concernées par les manquements, s’agissant notamment des durées de conservation des données, celui-ci ayant affecté plusieurs milliers de personnes.
La société soutient ensuite être une entreprise de taille intermédiaire et agir dans un secteur particulièrement concurrentiel. Elle considère qu’une amende administrative élevée affecterait sa santé financière et sa position commerciale.
À ce sujet, la formation restreinte considère que la société est un acteur établi de l’e-commerce, et que, créée bien avant l’entrée en application du RGPD, elle ne pouvait ignorer les règles de bases de la protection des données personnelles.
Ensuite, la formation restreinte rappelle que le § 3 de l’article 83 du Règlement prévoit qu’en cas de violations multiples, comme c’est le cas en l’espèce puisque quatre manquements sont caractérisés, le montant total de l’amende ne peut excéder le montant fixé pour la violation la plus grave. Dans la mesure où il est reproché à la société un manquement aux articles 5 et 12 du Règlement, le montant maximum de l’amende pouvant être retenu s’élève à 20 millions d’euros ou 4% du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu.
Toutefois, la formation restreinte tient également compte, dans la détermination de l’amende prononcée, des mesures que la société a prises au cours de la procédure de sanction pour se mettre partiellement en conformité ainsi que la coopération avec les services de la Commission.
En troisième lieu, concernant la nécessité de prononcer une injonction, la société considère qu’une mise en demeure sans astreinte serait plus adaptée compte tenu de la célérité déjà constatée pour se mettre en conformité sur plusieurs manquements.
Sans ignorer les démarches de la société pour se mettre en conformité avec le RGPD, la formation restreinte considère que la société n’a pas démontré, au jour de la clôture de l’instruction, la conformité totale des traitements qu’elle met en œuvre aux articles 5-1-c), 5-1 e) 13 et 32 du Règlement.
Faute pour la société de s’être mise en conformité sur ces manquements, il y a lieu de prononcer une injonction.