AgentPublic/cnil huggingface dataset:
200. La formation restreinte considère que l’organisation juridique du groupe, et notamment de la société […] et de ses filiales, rendrait de facto sans effet toute amende qui serait prononcée sur le seul chiffre d'affaires de la société […]. La formation restreinte rappelle que la société […] a réalisé, en 2019, un chiffre d'affaires d’environ 14 millions d’euros et un résultat net déficitaire de 1,6 milliards d’euros. Ces chiffres étaient du même ordre en 2018 (chiffre d'affaires d’environ 25 millions d’euros et résultat net déficitaire de 1,4 milliards d’euros). […] appartient pourtant à un groupe dont l’activité économique est d’un ordre de grandeur totalement différent, présentant un chiffre d'affaires d’environ 80 milliards d’euros (environ 40 milliards d’euros en France) pour un résultat net ajusté, part du groupe, bénéficiaire d’environ 900 millions d’euros en 2019. Certaines filiales de la société […] réalisent un chiffre d'affaires particulièrement important. À titre d’exemple, la société […] (détenue à 81,73% par la société […]) a réalisé, en 2019, un chiffre d'affaires de 14,3 milliards d’euros et la société […] (détenue à 99% par la société […]) a réalisé en 2019 un chiffre d'affaires de 636 millions d’euros.
201. En conséquence, la formation restreinte considère que, pour apprécier la notion d’entreprise conformément aux articles 101 et 102 du TFUE, il convient de prendre en compte le chiffre d'affaires réalisé par la société […] et par les filiales qu’elle détient et qui ont bénéficié des traitements. Il ressort des déclarations de la société lors du contrôle réalisé le 28 mai 2019 que les sociétés […] et […] profitent du programme de mutualisation des données. Le service Marketing France de la société […] traite en effet les données mutualisées des clients de ces sociétés (nom, prénom, adresse physique et électronique, numéro de téléphone, historique d’achat) afin de leur adresser des publicités personnalisées pour les produits vendus dans ces enseignes. La formation restreinte souligne aussi que ces sociétés participent à la collecte des données à caractère personnel, puisque l’adhésion au programme fidélité est possible directement en magasin au travers de formulaires papier.
202. En conclusion, la formation restreinte retient que le chiffre d'affaires de l’entreprise, au sens d’unité économique, servant de base au calcul de l’assiette de l’amende s’élève à 14,9 milliards d’euros en 2019.
203. La formation restreinte considère néanmoins que la détermination du montant de l’amende doit prendre en compte la spécificité du modèle économique du secteur concerné, celui de la grande distribution, caractérisé par un chiffre d'affaires particulièrement élevé au regard des résultats nets dégagés par l’activité, celle-ci se distinguant par des volumes extrêmement importants et des marges faibles.
204. Dès lors, elle estime qu’une amende d’un montant de 2 250 000 euros est justifiée et proportionnée aux manquements relevés et à la situation de la société […].
205. Sur la publicité de la décision, la société estime que la publicité de la sanction ne se justifie pas.
206. La formation restreinte considère, premièrement, que la gravité de certains manquements justifie, par elle-même, la publicité de la présente décision.
207. La formation restreinte rappelle, deuxièmement, que les manquements relatifs à la durée de conservation des données, aux modalités d’exercice des droits ou à l’information délivrée ont concerné un très grand nombre de personnes. Elle considère que la publicité de sa décision est le meilleur moyen d’informer les personnes de l’existence passée de ces manquements. Elle note que les personnes ne peuvent avoir connaissance de certains manquements (comme celui relatif à la durée de conservation) que grâce à cette publicité de sa décision.
208. Il résulte de tout ce qui précède et de la prise en compte des critères fixés à l’article 83 du règlement qu’une amende administrative à hauteur de 2 250 000 euros ainsi qu’une sanction complémentaire de publication pour une durée de deux ans sont justifiées et proportionnées.
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide de :
• prononcer à l’encontre de la société […] une amende administrative d’un montant de 2 250 000 (deux millions deux cent cinquante mille) euros pour les manquements aux articles 5-1 e), 12, 13, 15, 17, 21, 32 et 33 du RGPD, à l’article L34-5 du code des postes et des communications électroniques et à l’article 82 (anciennement 32.II) de la loi informatique et libertés ;
• rendre publique, sur le site de la CNIL et sur le site de Légifrance, sa délibération, qui n’identifiera plus nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.
Le président
Alexandre LINDEN
Cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’État dans un délai de deux mois à compter de sa notification.
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de Messieurs Alexandre LINDEN, président, Philippe-Pierre CABOURDIN, vice-président, et de Mesdames Sylvie LEMMET et Christine MAUGÜE, membres ;
Vu la Convention no 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;
Vu le décret no 2019-536 du 29 mai 2019 pris pour l'application de la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu l’ordonnance n° 2020-306 du 25 mars 2020 relative à la prorogation des délais échus pendant la période d'urgence sanitaire ;
Vu les décisions no 2019-081C du 24 avril 2019 et no 2019-102C du 6 juin 2019 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements mis en œuvre par cet organisme ou pour le compte de la société [...] et ses filiales, et notamment la société [...] ;
Vu la décision de la vice-présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte, en date du 29 novembre 2019 ;
Vu le rapport de Monsieur Éric PÉRÈS, commissaire rapporteur, notifié à la société [...] le 10 janvier 2020 ;
Vu les observations écrites versées par le conseil de la société [...] le 10 mars 2020 ;
Vu la réponse du rapporteur à ces observations notifiée par courriel le 22 avril 2020 au conseil de la société ;
Vu les observations écrites du conseil de la société [...] reçues le 24 août 2020 ;
Vu les observations orales formulées lors de la séance de la formation restreinte ;
Vu les autres pièces du dossier ;
Étaient présents, lors de la séance de la formation restreinte du 17 septembre 2020 :
- Monsieur Éric PÉRÈS, commissaire, entendu en son rapport ;
En qualité de représentants de la société [...] :
- [...] ;
- [...] ;
- [...] ;
- [...] ;
- [...] ;
- [...] ;
- [...].
La société [...] ayant eu la parole en dernier ;
La formation restreinte a adopté la décision suivante :
I. Faits et procédure
1. La société [...] est une filiale détenue à 40 % par la société […] et à 60 % par la société [...], maison-mère du groupe [...].
2. Créé en […], le groupe [...] (ci-après " le groupe "), dont le siège est au […], a pour activité principale la grande distribution. Il intervient également dans d’autres domaines comme le secteur bancaire et assurantiel, le commerce en ligne et les agences de voyages. En 2018, il employait environ 360 000 salariés et avait réalisé un chiffre d’affaires de 76 milliards d’euros.
3. Sise […], la société [...] (ci-après " la société ") est un établissement bancaire ayant pour activités principales le crédit à la consommation, la gestion de portefeuilles, le courtage en assurance ainsi que les services d’investissement. En 2018, elle employait environ 300 salariés et avait réalisé un produit net bancaire de 308 millions d’euros.
4. Dans le cadre de ses activités, la société édite le site web www. [...] (ci-après " le site [...] "). Elle commercialise également une carte de paiement destinée aux clients du groupe [...] (ci-après la " carte [...] "), qui peut être rattachée au programme de fidélité du groupe.
5. En application des décisions no 2019-081C du 24 avril 2019 et no 2019-102C du 6 juin 2019 de la présidente de la Commission, les services de la CNIL ont procédé à un contrôle en ligne, le 5 juillet 2019, relatif au site [...] et aux traitements mis en œuvre à partir de ce site ainsi qu’à un contrôle sur place dans les locaux de la société [...], le 9 juillet 2019, relatif aux traitements concernant la carte [...].
6. Ces missions avaient pour objet de vérifier, notamment, le respect, par la société, de l’ensemble des dispositions du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (ci-après " le Règlement " ou " le RGPD ") et de la loi no 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après " la loi informatique et libertés ").
7. Dans le cadre du contrôle sur place, les représentants du groupe [...] ont précisé à la délégation que la société [...] est responsable de traitement des deux programmes paiement (débit et crédit) de la carte [...] tandis que la société [...] est responsable de traitement du troisième programme permettant le rattachement de la carte [...] à la base de données " […] " qui met en œuvre le programme de fidélité [...].
8. Le 19 juillet 2019, la société a transmis à la délégation de contrôle les documents demandés dans le cadre du contrôle sur place du 9 juillet 2019 et notamment le comptage du nombre de cartes [...] rattachées au programme de fidélité [...].
9. Aux fins d’instruction de ces éléments, la vice-présidente de la Commission a désigné Monsieur Éric PÉRÈS en qualité de rapporteur, le 29 novembre 2019, sur le fondement de l’article 22 de la loi " informatique et libertés ".
10. À l’issue de son instruction, le rapporteur a fait signifier par huissier de justice à la société [...], le 10 janvier 2020, un rapport détaillant les manquements au RGPD et à la loi " informatique et libertés " qu’il estimait constitués en l’espèce.
11. Ce rapport proposait à la formation restreinte de la Commission de prononcer une injonction de mettre en conformité le traitement avec les dispositions des articles 5, 12 et 13 du Règlement et de l’article 82 de la loi " informatique et libertés ", assortie d’une astreinte, ainsi qu’une amende administrative. Il proposait également que cette décision soit rendue publique et ne permette plus d’identifier nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.
12. Le 29 janvier 2020, la société a sollicité la prolongation d’un mois du délai dans lequel elle devait répondre au rapport, le report de la séance initialement prévue le 24 mars 2020 ainsi qu’une rencontre avec le rapporteur. Le 3 février, le président de la formation restreinte a accordé la prolongation sollicitée pour une durée d’un mois. Le 6 février, le secrétaire général de la CNIL a fait droit à la demande de report de la séance au 21 avril 2020. Le même jour, le rapporteur a refusé la rencontre sollicitée par la société.
13. Le 10 mars 2020, par l’intermédiaire de son conseil, la société a produit des observations et formulé une demande pour que la séance devant la formation restreinte se tienne à huis clos.
14. Par courrier électronique du 23 mars 2020 et sur le fondement de l’article 40, alinéa 4, du décret n° 2019-536 du 29 mai 2019, le rapporteur a demandé au président de la formation restreinte un délai supplémentaire de quinze jours pour répondre aux observations de la société.
15. Par courrier du 24 mars 2020, prenant notamment acte du contexte de la crise sanitaire, le président de la formation restreinte a fait droit à la demande du rapporteur.
16. Par un courrier du même jour, la société a été informée du délai supplémentaire accordé au rapporteur et du fait qu’elle disposait, en vertu de l’alinéa 5 de l’article 40 du décret n° 2019-536 du 29 mai 2019, d’un délai d’un mois pour répondre à la réponse du rapporteur. Le courrier l’informait également du deuxième report de la séance de la formation restreinte, prévue le 21 avril 2020.
17. Par courrier électronique du 7 avril 2020, le rapporteur a demandé au président de la formation restreinte un nouveau délai supplémentaire de quinze jours pour répondre aux observations de la société, qui lui a été accordé le 8 avril 2020. La société en a été informée le même jour.
18. Le rapporteur a répondu aux observations de la société le 22 avril 2020.
19. Par un courrier du même jour, le secrétaire général de la CNIL a informé la société qu’elle pouvait transmettre ses observations à la réponse du rapporteur jusqu’au 24 août 2020 en application de l’ordonnance n° 2020-306 du 25 mars 2020 relative à la prorogation des délais échus pendant la période d'urgence sanitaire.
20. Le 30 juin 2020, le président de la formation restreinte a fait droit à la demande de huis clos formulée par la société, au motif que certains éléments versés aux débats étaient protégés par le secret des affaires, tel que prévu par l’article L 151-1 du code du commerce.
21. Le 5 août 2020, les services de la CNIL ont notifié à la société une convocation à la séance de la formation restreinte du 17 septembre 2020.
22. Le 24 août 2020, la société a produit de nouvelles observations en réponse à celles du rapporteur.
23. La société et le rapporteur ont présenté des observations orales lors de la séance de la formation restreinte.
II. Motifs de la décision
A. Sur le manquement à l’obligation de traiter les données de manière loyale
24. Aux termes de l’article 5, paragraphe 1, a), du RGPD : " Les données à caractère personnel doivent être: a) traitées de manière licite, loyale et transparente au regard de la personne concernée (licéité, loyauté, transparence) ".
25. Il ressort des constatations effectuées par la délégation de contrôle que lorsqu’un souscripteur d’une carte de paiement (carte [...]) souhaite également adhérer au programme de fidélité [...], la société [...] fait plusieurs requêtes à la société [...] dont, notamment, une demande d’adhésion au programme de fidélité [...].
26. En effet, lors du contrôle en ligne, la délégation a constaté que s’il veut adhérer au programme de fidélité [...], le souscripteur de la carte [...] doit notamment cocher la case située au bas de la page intitulée " Ma fidélité récompensée " au soutien de laquelle figure la mention suivante : " Je souhaite rattacher mon compte Fidélité [...] à ma carte [...] (ou à défaut le créer et le rattacher). Pour cela, j’accepte que [...]communique à [...] Fidélité mon nom, prénom et email. [...] s’engage à ne transmettre aucune autre information à [...] Fidélité ".
27. Il ressort des pièces remises à la délégation lors du contrôle sur place que la société [...] transmet également à la société [...], en plus des nom, prénom et adresse électronique du souscripteur de la carte [...] mentionnés ci-avant, son adresse postale ainsi que son ou ses numéros de téléphone. Lorsqu’elle dispose de ces informations, elle renseigne aussi la société [...] sur le nombre d’enfants déclarés par le souscripteur.
28. Le rapporteur considère ainsi que la société a manqué au principe de loyauté dès lors qu’elle transmettait à la société [...] plus de données à caractère personnel concernant les souscripteurs de la carte [...] que celles limitativement énumérées dans le cadre du parcours de souscription en ligne.
29. La société répond, tout d’abord, que la notion de loyauté n’étant pas définie dans le Règlement, le rapporteur ne saurait demander à la formation restreinte d’en sanctionner la violation.
30. Elle relève, par ailleurs, que le principe de loyauté peut tout au plus être rattaché à l’obligation de transparence, prévue à l’article 12 du Règlement. En l’occurrence, elle avance s’être conformée à cette exigence de transparence dès lors que la mention d’information mise en cause par le rapporteur informe les personnes de l’existence du traitement, de sa finalité ainsi que du transfert de ces données à des tiers.
31. Elle soutient, enfin, que les pratiques dénoncées pourraient d’autant moins être qualifiées de déloyales qu’elles ne résulteraient que d’un défaut de mise à jour de son web, dû à une erreur de communication entre les différents services des deux sociétés.
32. La formation restreinte rappelle que le principe de loyauté est un principe autonome prévu à l’article 5, paragraphe 1, a), du RGPD dont la violation par un responsable de traitement est susceptible de donner lieu au prononcé d’une mesure correctrice de la part de l’autorité de contrôle.
33. Elle relève, à cet égard, que cette disposition doit être interprétée à la lumière du considérant 60 du Règlement, aux termes duquel : " le principe de traitement loyal et transparent exige que la personne concernée soit informée de l'existence de l'opération de traitement et de ses finalités. Le responsable du traitement devrait fournir à la personne concernée toute autre information nécessaire pour garantir un traitement équitable et transparent, compte tenu des circonstances particulières et du contexte dans lesquels les données à caractère personnel sont traitées ".
34. En l’occurrence, la formation restreinte considère que l’information fournie dans cette mention était à la fois imprécise et trompeuse.
35. Tout d’abord, la formation restreinte relève que la société [...] mentionne " [...] Fidélité " comme destinataire des données communiquées alors même que ce service, rattaché à la société [...], n’avait, avant cette mention, jamais été présenté aux souscripteurs de la carte [...]. Ainsi, les personnes concernées ne pouvaient comprendre d’elles-mêmes que leurs données à caractère personnel étaient en fait communiquées à une société tierce, la société [...].
36. Ensuite, la formation restreinte considère que l’information fournie aux personnes concernées était trompeuse et déloyale dès lors que la société avait expressément indiqué, dans cette même mention d’information, qu’elle " s’engage[ait] à ne transmettre aucune autre information à [...] Fidélité " que les noms, prénoms et adresse électronique des souscripteurs à la carte [...] alors même que tel n’était précisément pas le cas.
37. La formation restreinte considère donc qu’un manquement à l’article 5, paragraphe 1, a), du RGPD était constitué.
38. Elle relève, néanmoins, qu’au jour de la séance, la société avait entièrement refondu le parcours de souscription en ligne à la carte [...] et, notamment, réécrit la mention d’information contestée. Les souscripteurs de la carte [...] souhaitant être rattachés au programme de fidélité [...] sont désormais informés du fait que des données à caractère personnel les concernant sont transmises à la société [...] et sont également renseignés sur la nature exacte des données effectivement transmises.
B. Sur le manquement relatif à l’information des personnes
39. L’article 12 du Règlement dispose que : " le responsable du traitement prend des mesures appropriées pour fournir toute information visée aux articles 13 et 14 […] en ce qui concerne le traitement à la personne concernée d'une façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples […] ".
40. L’article 13 de ce même Règlement dresse la liste des informations devant être communiquées aux personnes concernées lorsque les données à caractère personnel sont collectées auprès d’elles.
1. S’agissant de l’accessibilité de l’information
41. En premier lieu, le rapporteur considère que, tel qu’il ressort des constations effectuées par la délégation lors du contrôle en ligne, l’information mise à disposition des utilisateurs du site [...] par le biais de différents canaux, n’était pas aisément accessible au sens de l’article 12 du Règlement.
42. Pour prendre connaissance de l’information fournie quant au traitement de ses données à caractère personnel, l’utilisateur pouvait tout d’abord cliquer sur l’onglet " Protection des données bancaires " figurant en pied de page du site. Alternativement, il pouvait également cliquer sur le lien " Mentions légales " figurant en pied de page du site, parvenir au point 3 de ces mentions, intitulé " 3 - Protection et confidentialité des données personnelles traitées par [...]" et, enfin, cliquer sur le lien " Pour en savoir plus sur notre politique de protection des données personnelles consultez notre page dédiée ", lequel renvoyait à la politique de confidentialité de la société intitulée " Protection et confidentialité des données personnelles traitées par [...]", sans qu’aucune autre information n’ait été préalablement fournie à l’utilisateur avant d’atteindre cette politique de confidentialité.
43. La société soutient qu’elle était parfaitement fondée à insérer un lien renvoyant vers sa politique de confidentialité dans ses mentions légales et qu’en tout état de cause, cette information était fournie directement via l’onglet " Protection des données bancaires " figurant en pied de page du site.
44. La formation restreinte rappelle que pour considérer qu’un responsable de traitement satisfait à son obligation de transparence, il convient notamment que l’information fournie soit " aisément accessible " pour les personnes concernées au sens de l’article 12 du Règlement.
45. Elle relève, à cet égard, que cette disposition doit être interprétée à la lumière du considérant 61 du Règlement, aux termes duquel : " les informations sur le traitement des données à caractère personnel relatives à la personne concernée devraient lui être fournies au moment où ces données sont collectées auprès d'elle ".
46. En ce sens, elle partage la position du G29 présentée dans les lignes directrices sur la transparence au sens du Règlement, adoptées dans leur version révisée le 11 avril 2018 (ci-après " les lignes directrices sur la transparence "), qui rappelle que " la personne concernée ne devrait pas avoir à rechercher les informations mais devrait pouvoir tout de suite y accéder ".
47. Pour illustrer comment il est possible de satisfaire à ce critère d’accessibilité, ces mêmes lignes directrices précisent, s’agissant d’un environnement en ligne que, " chaque entreprise disposant d’un site internet devrait publier une déclaration ou un avis sur la protection de la vie privée sur son site. Un lien direct vers cette déclaration ou cet avis sur la protection de la vie privée devrait être clairement visible sur chaque page de ce site internet sous un terme communément utilisé (comme "Confidentialité", "Politique de confidentialité" ou " Avis de protection de la vie privée "). Les textes ou liens dont la mise en page ou le choix de couleur les rend moins visibles ou difficiles à trouver sur une page web ne sont pas considérés comme aisément accessibles ".
48. En l’espèce, la formation restreinte considère, d’abord, que l’imprécision de l’intitulé de l’onglet " Protection des données bancaires " figurant en pied de page du site, évoquant les données bancaires et non les données à caractère personnel, ne pouvait permettre aux personnes concernées de comprendre aisément qu’en cliquant sur ce lien elles allaient être redirigés vers la politique de confidentialité du site, comportant les informations relatives au traitement de leurs données à caractère personnel. En effet, pour le grand public, une part importante des données traitées (adresse, nombre d’enfants, etc.) ne relève pas des " données bancaires ".