AgentPublic/cnil huggingface dataset:
M. Tony MARTIN, auditeur des systèmes d’information au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Joanna MASSON, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ;
M. Étienne MAURY, juriste au service des affaires européennes et internationales ;
Mme Marjorie MENAPACE, juriste au service des délégués à la protection des données à la direction de la conformité ;
Mme Élise MERY-BOUDONNAT, juriste au service des plaintes à la direction de la protection des droits et des sanctions ;
M. Thomas MOREAU, juriste au service des affaires économiques à la direction de la conformité ;
M. Mathias MOULIN, directeur de la protection des droits et des sanctions ;
Mme Sophie NERBONNE, directrice chargée de co-régulation économique ;
Mme Ingrid NKOUENJIN, chef du service des outils de la conformité à la direction de la conformité ;
Mme Rabia OUADDAH, juriste au service des plaintes à la direction de la protection des droits et des sanctions ;
Mme Marie PACALET, juriste au service des questions sociales et ressources humaines à la direction de la conformité ;
M. Bertrand PAILHÈS, directeur des technologies et de l’innovation ;
Mme Adélaïde PATERNOGA, juriste au service des plaintes à la direction de la protection des droits et des sanctions ;
Monsieur Benoît PELLAN, chargé du développement des outils de la conformité à la direction de la conformité ;
Mme Lorraine PERRONNE, juriste au service des affaires régaliennes et des collectivités territoriales ;
Mme Bertrande PIAT-TAMBAREAU, assistante juridique au service des plaintes à la direction de la protection des droits et des sanctions ;
M. Antoine PLANCHOT, auditeur des systèmes d’information au service des contrôles à la direction de la protection des droits et des sanctions ;
M. Benjamin POILVÉ, ingénieur expert au service de l’expertise technologique à la direction des technologies et de l’innovation ;
Mme Andreea PRIAN, ingénieur expert au service de l’expertise technologique à la direction des technologies et de l’innovation ;
Mme Florence RAYNAL, chef du service des affaires européennes et internationales ;
M. Vincent RASNEUR, ingénieur expert au service de l’expertise technologique à la direction des technologies et de l’innovation ;
Mme Albane RICHET, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ;
Mme Ismini RIGOPOULOU, juriste au service des affaires européennes et internationales ;
Mme Caroline RILOS MACIAS, assistante juridique au service des contrôles à la direction de la protection des droits et des sanctions ;
M. Valentin ROGER, responsable de la sécurité des systèmes d’information au secrétariat général ;
Mme Guilda ROSTAMA, juriste au service des affaires économiques à la direction de la conformité ;
Mme Mathilde ROUSSEL, assistante juridique au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Stéphanie SAULNIER, juriste au service des questions sociales et ressources humaines à la direction de la conformité ;
Mme Clémence SCOTTEZ, chef du service des affaires économiques à la direction de la conformité ;
M. Benoit SEGUIN, chef du service du droit d’accès indirect à la direction de la protection des droits et des sanctions ;
Mme Émilie SERUGA-CAU, chef du service des affaires régaliennes et des collectivités territoriales à la direction de la conformité ;
Mme Lola TAIEB, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ;
M. Félicien VALLET, ingénieur expert au service de l’expertise technologique à la direction des technologies et de l’innovation ;
M. Benjamin VIALLE, chef du service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Anne VIDAL, juriste au service de la santé à la direction de la conformité ;
Mme Albine VINCENT, chef du service des délégués à la protection des données à la direction de la conformité ;
M. Paul VINCENT, juriste au service des plaintes à la direction de la protection des droits et des sanctions ;
M. Christophe VIVENT, ingénieur expert au service de l’expertise technologique à la direction des technologies et de l’innovation ;
Mme Clémentine VOISARD, chargée de mission au service des relations avec les publics ;
Mme Sophie VULLIET-TAVERNIER, directrice des relations avec les publics et la recherche ;
Article 2 : La délibération n° HAB-2020-002 du 23 juillet 2020 habilitant des agents de la CNIL à procéder à des missions de vérification est abrogée.
Article 3 : Les habilitations mentionnées à l’article 1er sont délivrées pour une durée de cinq ans.
Article 4 : La présente décision prendra effet à compter de la date de sa publication au Journal officiel de la République française.
La présidente,
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 9 ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment son article 6 ;
Vu la délibération n° 2013-175 du 4 juillet 2013 modifiée portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés, notamment son article 16 ;
Après avoir procédé au vote,
Constate :
Article 1
	Mme Dominique CASTERA est élue membre de la formation restreinte de la Commission.
Article 2
	La formation restreinte de la Commission est ainsi composée de :
	M. Alexandre LINDEN, président ;
	M. Philippe-Pierre CABOURDIN, vice-président ;
	Mme Dominique CASTERA ;
	Mme Anne DEBET ;
	Mme Sylvie LEMMET ;
	Mme Christine MAUGÜE.
Article 3
	La présente délibération sera publiée au Journal officiel de la République française.
La présidente,
M.-L. Denis
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de Messieurs Alexandre LINDEN, président, Philippe-Pierre CABOURDIN, vice-président, et de Mesdames Sylvie LEMMET et Christine MAUGÜE, membres ;
Vu la Convention no 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;
Vu le code des postes et des communications électroniques ;
Vu le décret no 2019-536 du 29 mai 2019 pris pour l'application de la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu l’ordonnance no 2020-306 du 25 mars 2020 relative à la prorogation des délais échus pendant la période d'urgence sanitaire ;
Vu les saisines nos […]
Vu les décisions no 2019-081C du 24 avril 2019 et no 2019-102C du 6 juin 2019 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements mis en œuvre par cet organisme ou pour le compte de la société […] et ses filiales, et notamment les sociétés […], […], […], […] et […] ;
Vu les observations adressées à la Commission par la société […] le 5 décembre 2019 ;
Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte, en date du 10 décembre 2019 ;
Vu le rapport de Monsieur Éric PÉRÈS, commissaire rapporteur, notifié à la société […] le 10 janvier 2020 ;
Vu les observations écrites versées par le conseil de la société […] le 10 mars 2020 ;
Vu la réponse du rapporteur à ces observations notifiée par courriel le 22 avril 2020 au conseil de la société ;
Vu les observations écrites du conseil de la société […] reçues le 24 août 2020 ;
Vu les observations complémentaires reçues le 15 septembre 2020 ;
Vu les observations orales formulées lors de la séance de la formation restreinte ;
Vu les autres pièces du dossier ;
Étaient présents, lors de la séance de la formation restreinte du 17 septembre 2020 :
- Monsieur Éric PÉRÈS, commissaire, entendu en son rapport ;
En qualité de représentants de la société […] :
- […] ;
- […] ;
- […] ;
- […] ;
- […] ;
- […].
La société […] ayant eu la parole en dernier ;
La formation restreinte a adopté la décision suivante :
I. Faits et procédure
1. La société […] (ci-après " la société ") est une filiale du groupe […] (ci-après " le groupe ") sis […], intervenant dans de nombreux domaines. Son activité principale est la grande distribution, mais le groupe a diversifié ses activités, en intervenant par exemple dans le secteur bancaire et assurantiel, ainsi que comme agence de voyages ou encore vendeur spécialisé dans le commerce en ligne.
2. En 2019, le groupe […] employait environ 360 000 salariés, avait réalisé un chiffre d’affaires d’environ 80 milliards d’euros et un résultat net ajusté, part du groupe, de 905 millions d’euros, en hausse par rapport à 2018 (804 millions d’euros). La société […] a réalisé, en 2019, un chiffre d'affaires d’environ 14 millions d’euros, pour un résultat net déficitaire d’environ 1,6 milliard d’euros.
3. Le groupe […] est notamment constitué de la société mère […], qui détient la société […] à 99,61%. Cette dernière détient la société […] à 82% et la société […] à 99%. En 2019, […] a réalisé un chiffre d’affaires de 14,3 milliards d’euros et […] a réalisé un chiffre d'affaires de 636 millions d’euros.
4. Pour les besoins de son activité, la société […] édite notamment le site web […] (ci-après " le site […] "), permettant à ses clients de créer et d’accéder à un espace personnel et de passer commande.
5. Entre le 8 juin 2018 et le 6 avril 2019, la Commission a été destinataire de quinze plaintes de particuliers relatives aux sociétés du groupe […].
6. Sept de ces saisines (nos […]) faisaient état de prospection commerciale alors que les personnes concernées avaient préalablement exprimé leur opposition.
7. Quatre de ces saisines (nos […]) faisaient suite à des demandes d’effacement des données auxquelles il n’avait pas été fait droit.
8. Trois de ces saisines (nos […]) faisaient suite à des demandes d’accès aux données auxquelles il n’avait pas été fait droit.
9. Une saisine (no […]) faisait étant d’un lien de désabonnement dans un courriel de prospection commerciale.
10. En application des décisions no 2019-081C du 24 avril 2019 et no 2019-102C du 6 juin 2019 de la présidente de la Commission, cinq contrôles ont été opérés en ligne ou dans les locaux de la société :
- un contrôle en ligne, réalisé le 24 mai 2019, relatif au site […] et aux traitements mis en œuvre à partir de ce site ;
- un contrôle sur place, réalisé le 28 mai 2019, portant sur les traitements mis en œuvre par la société […], notamment dans le cadre du programme fidélité […] (ci-après " le programme fidélité "), ainsi que les différentes bases de données qu’elle utilisait pour la gestion de sa clientèle ;
- un contrôle sur place, réalisé les 11 et 12 juin 2019, relatif à l’exercice des droits et aux réponses apportées à plusieurs plaignants ayant saisi la CNIL d’une réclamation à l’encontre de la société ;
- un contrôle sur place, réalisé les 26 et 27 juin 2019, portant plus particulièrement sur la gestion des données à caractère personnel dans le cadre du programme fidélité ;
- un contrôle sur place, réalisé le 11 juillet 2019, relatif aux mesures de sécurité développées par […] pour protéger les données à caractère personnel qu’elle traite et aux violations de données intervenues.
11. Ces missions avaient pour objet de vérifier le respect, par la société, de l’ensemble des dispositions du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (ci-après " le Règlement " ou " le RGPD ") et de la loi no 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après " la loi du 6 janvier 1978 " ou " la loi informatique et libertés ").
12. Différents échanges sont intervenus par courriel entre la société et la délégation de contrôle. Ces échanges concernaient la transmission de documents demandés à l’occasion des contrôles. Le 5 décembre 2019, la société a notamment fait parvenir à la délégation de contrôle des observations écrites reprenant la majorité des points relevés à l’occasion des contrôles et annonçant différentes actions visant à sa mise en conformité.
13. Aux fins d’instruction de ces éléments, la présidente de la Commission a désigné Monsieur Éric PÉRÈS en qualité de rapporteur, le 10 décembre 2019, sur le fondement de l’article 22 de la loi du 6 janvier 1978.
14. À l’issue de son instruction, le rapporteur a fait signifier par huissier de justice à la société […], le 10 janvier 2020, un rapport détaillant les manquements au RGPD, à la loi informatique et libertés et au code des postes et des communications électroniques qu’il estimait constitués en l’espèce.
15. Ce rapport proposait à la formation restreinte de la Commission de prononcer une injonction de mettre en conformité le traitement avec les dispositions des articles 5, 12, 13, 15, 17, 21, 32 et 33 du Règlement et à l’article 82 de la loi informatique et libertés, assortie d’une astreinte, ainsi qu’une amende administrative. Il proposait également que cette décision soit rendue publique et ne permette plus d’identifier nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.
16. Le 29 janvier 2020, la société a sollicité la prolongation d’un mois du délai dans lequel elle devait répondre au rapport, le report de la séance initialement prévue le 24 mars 2020 ainsi qu’une rencontre avec le rapporteur. Le 3 février, le président de la formation restreinte a accordé la prolongation sollicitée pour une durée d’un mois. Le 6 février, le secrétaire général de la CNIL a fait droit à la demande de report de la séance au 21 avril 2020. Le même jour, le rapporteur a refusé la rencontre sollicitée par la société.
17. Le 10 mars 2020, par l’intermédiaire de son conseil, la société a produit des observations et formulé une demande pour que la séance devant la formation restreinte se tienne à huis clos.
18. Par courrier électronique du 23 mars 2020 et sur le fondement de l’article 40, alinéa 4, du décret no 2019-536 du 29 mai 2019, le rapporteur a demandé au président de la formation restreinte un délai supplémentaire de quinze jours pour répondre aux observations de la société.
19. Par courrier du 24 mars 2020, prenant notamment acte du contexte de la crise sanitaire, le président de la formation restreinte a fait droit à la demande du rapporteur.
20. Par un courrier du même jour, la société a été informée du délai supplémentaire accordé au rapporteur et du fait qu’elle disposait, en vertu de l’alinéa 5 de l’article 40 du décret no 2019-536 du 29 mai 2019, d’un délai d’un mois pour répondre à la réponse du rapporteur. Le courrier l’informait également du report de la séance de la formation restreinte, initialement prévue le 21 avril 2020.
21. Par courrier électronique du 7 avril 2020, le rapporteur a demandé au président de la formation restreinte un nouveau délai supplémentaire de quinze jours pour répondre aux observations de la société, qui lui a été accordé le 8 avril 2020. La société en a été informée le même jour.
22. Le rapporteur a répondu aux observations de la société le 22 avril 2020.
23. Par un courrier du même jour, le secrétaire général de la CNIL a informé la société qu’elle pouvait transmettre ses observations à la réponse du rapporteur jusqu’au 24 août 2020 en application de l’ordonnance no 2020-306 du 25 mars 2020 relative à la prorogation des délais échus pendant la période d'urgence sanitaire.
24. Le 30 juin 2020, le président de la formation restreinte a fait droit à la demande de huis clos formulée par la société au motif que certains éléments versés aux débats étaient protégés par le secret des affaires, tel que prévu par l’article L ;151-1 du code du commerce.
25. Le 5 août 2020, les services de la CNIL ont notifié à la société une convocation à la séance de la formation restreinte du 17 septembre 2020.
26. Le 24 août, puis le 15 septembre, la société a produit de nouvelles observations en réponse à celles du rapporteur.
27. La société et le rapporteur ont présenté des observations orales lors de la séance de la formation restreinte.
II. Motifs de la décision
A. Sur le manquement à l’obligation de conserver les données à caractère personnel pour une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées
28. L’article 5-1 e) du Règlement dispose que les données à caractère personnel doivent être " conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées ".
1. Les données des clients membres du programme de fidélité et des utilisateurs du site […]
29. D’une part, le rapporteur reproche à la société d’avoir fixé des durées de conservation excédant les durées nécessaires aux finalités des traitements. D’autre part, il reproche à la société d’avoir conservé des données à caractère personnel pendant une durée supérieure à celles prévues.
30. La société reconnaît ces points, mais rappelle qu’elle avait décidé, avant les contrôles de la CNIL, de réduire les durées de conservations de ses clients inactifs et qu’elle avait entamé les opérations de purges nécessaires au respect de ces nouvelles durées. Elle indique en outre avoir achevé l’ensemble de ces opérations durant la procédure de sanction.
31. Sur le premier point, la formation restreinte rappelle qu’au jour des contrôles, la société a indiqué que les données des clients " fidélité " étaient conservées en base active pendant quatre ans à compter de leur dernière activité (celle-ci pouvant s’entendre, selon les situations, comme la dernière transaction avec passage de la carte fidélité en caisse d’un magasin, la dernière transaction en ligne, la dernière modification de l’espace personnel sur le site web de la société ou le dernier contact avec le service client).
32. Elle rappelle que le programme fidélité établi par la société a pour but la prospection commerciale de ses adhérents, ainsi qu’il ressort des mentions d’information présentes sur le bulletin d’adhésion. La formation restreinte relève que les clients de la grande distribution, a fortiori ceux d’un programme " fidélité ", sont des clients d’habitude retournant de façon régulière dans les mêmes magasins. Dès lors, elle considère qu’un client n’ayant pas commercé avec la société pendant plusieurs années ne doit plus être considéré comme un client actif. À titre d’illustration, tant l’ancienne norme simplifiée no 48 relative aux fichiers clients-prospects et à la vente en ligne que le récent projet de référentiel relatif aux traitements de données à caractère personnel mis en œuvre aux fins de gestion des activités commerciales recommandent que les données de clients inactifs soient conservées pendant une durée de trois ans à compter du dernier contact avec la société. Si cette durée est indicative et ne s’impose pas en tant que telle aux responsables de traitement, la formation restreinte considère qu’elle constitue une référence permettant d’apprécier une durée appropriée. En l’espèce, elle relève que cette durée est déjà conséquente dans le secteur de la grande distribution. Si les particularités des traitements mis en œuvre par la société […], et notamment l’interconnexion profonde de ses bases, peuvent justifier que cette durée de trois ans ne soit pas jugée excessive,
la formation restreinte estime qu’elle ne saurait être étendue jusqu’à la durée de quatre ans initialement fixée par la société. Considérant cette finalité de prospection commerciale du traitement " fidélité ", elle estime qu’une durée de conservation de quatre ans n’était pas strictement nécessaire à la finalité poursuivie, et donc excessive.
33. Elle relève néanmoins que la société a, avant l’engagement des procédures de contrôle, engagé un plan visant à réduire cette durée de conservation à trois ans pour l’ensemble de ses bases de données. Au regard de l’interconnexion entre les différentes bases de données de la société et de la nécessité opérationnelle de fixer une durée de conservation identique pour l’ensemble de ses données, la durée de conservation de trois ans pour les clients inactifs apparaît proportionnée à la finalité poursuivie.
34. Sur le deuxième point, la formation restreinte relève, tout d’abord, que la société reconnaît un retard dans la mise en œuvre de son programme d’effacement des données mais souligne les efforts importants fournis depuis l’engagement de la procédure pour se mettre en conformité. La formation restreinte note que la délégation de contrôle a constaté la présence de données concernant des clients inactifs depuis plus de quatre ans, et notamment plus de vingt-huit millions de clients membres du programme fidélité inactifs depuis cinq à dix ans. S’agissant des utilisateurs du site […], la formation restreinte souligne qu’étaient conservées les données de plus de 750 000 utilisateurs dont l’acte d’achat remontait de cinq à dix ans, et près de 20 000 utilisateurs dont le dernier achat remontait à plus de dix ans.
35. La formation restreinte considère donc, au vu de ces éléments, qu’un manquement à l’article 5-1-e) du RGPD est constitué.
36. La formation restreinte souligne cependant les moyens très importants, tant organisationnels que financiers, déployés par la société et constate, au jour de la séance, la conformité au Règlement des pratiques de la société. Cette dernière démontre en effet avoir mis en place un système automatisé de suppression des données de ses clients (tant du programme fidélité que du site […]) inactifs depuis plus de trois ans.
2. Les pièces d’identité conservées dans le cadre de l’exercice des droits
37. Le rapporteur reproche à la société d’avoir conservé pendant une durée d’un à six ans les pièces d’identité qui lui étaient communiquées par les personnes concernées dans le cadre de l’exercice d’un droit. Il considère que cette durée est excessive, les données étant conservées au-delà de la durée nécessaire pour l’atteinte de la finalité pour laquelle elles sont traitées.
38. Sur ce point, la société souligne la modification de ces pratiques depuis la notification du rapport de sanction, les titres d’identité n’étant plus conservés que pendant la durée relative au traitement de la demande en question.
39. La formation restreinte relève que la délégation de contrôle a effectivement constaté que des copies de cartes nationales d'identité de requérants étaient conservées par la société pendant une durée pouvant aller d’un à six ans.
40. Or, elle considère que, dès qu’il a été fait droit à la demande, la société n’a plus besoin de conserver une copie de la pièce d’identité du requérant. La fourniture de ce document a en effet pour seul but de justifier de l’identité de la personne dont émane la demande et il n’est pas nécessaire de le conserver une fois l’identité confirmée.
41. La formation restreinte estime également que, pour démontrer qu’elle a effectivement fait droit à la demande, la société peut, au titre d’un archivage intermédiaire à des fins contentieuses, ne conserver que le courrier de réponse favorable, élément dont la conservation présente, au demeurant, un risque moindre pour la personne concernée.
42. Elle considère donc, au vu de ces éléments, qu’un manquement à l’article 5-1-e) du RGPD est constitué.
43. Elle souligne néanmoins les modifications apportées dès la notification du rapport et observe que les nouvelles pratiques de la société sont, au jour de la séance, en conformité avec le Règlement. Il a en effet été démontré que les pièces d’identité sont désormais supprimées dès qu’il a été fait droit à la demande.
B. Sur le manquement relatif aux modalités d’exercice des droits