AgentPublic/cnil huggingface dataset:
La société précise également avoir pris les mesures correctives nécessaires dès septembre 2016 d’une part, en identifiant les personnes concernées dont la date d’inscription au FICP avait été décalée et d’autre part, en informant immédiatement la Banque de France de la situation afin de modifier leur date d’inscription au FICP. Elle indique avoir ainsi mis en œuvre une solution technique intermédiaire consistant en une demande de radiation du FICP des personnes concernées, une fois le délai de cinq ans atteint.
La société rappelle qu’elle ne peut pas elle-même modifier la date de première inscription au FICP et que sur les 38 329 personnes potentiellement impactées par le dysfonctionnement, seules 5 644 personnes restaient concernées en septembre 2016.
La société fait valoir l’absence de préjudice causé à la plaignante résultant du dysfonctionnement et précise que l’inscription de cette dernière au FICP était légitime. Elle indique par ailleurs qu’aucune autre plainte n’a été reçue par la Commission ou par elle-même sur ce sujet.
La société estime, en outre, avoir coopéré avec la Commission en répondant rapidement à ses interrogations et présente une liste d’engagements comprenant notamment une procédure d’analyse d’impact concernant les éventuels incidents.
Enfin, elle considère que le prononcé d’un avertissement public ne se justifierait qu’en cas de pluralité de manquements et de plaintes. Elle estime également qu’une publication produit des effets illimités dans le temps, renforçant le caractère punitif de la sanction.
En premier lieu, la formation restreinte relève que la société reconnait l’existence d’un dysfonctionnement dans son système d’information, ce dernier ayant conduit à la désinscription et à la réinscription à une date inexacte de plusieurs milliers de personnes au FICP, et ce parfois à plusieurs reprises.
En deuxième lieu, la formation restreinte considère que la société a manqué de diligence dans les mesures mises en œuvre puisque le correctif technique mettant fin à cette anomalie n’est intervenu qu’en novembre 2012, soit un an après le constat de son existence par la société.
La formation restreinte considère en outre qu’il appartenait à la société de prendre les mesures nécessaires afin de tirer les conséquences de ce dysfonctionnement technique en terme d’exactitude des données. Or, ce n’est qu’après le contrôle de la CNIL que la société a régularisé la situation des personnes concernées, en septembre 2016, alors même qu’elle avait connaissance du problème technique depuis novembre 2011 et de ses conséquences sur les données à caractère personnel des clients, ainsi que l’établit son courrier à la CNIL du 18 juin 2015 relatif à une précédente plainte (PL 15001372).
La formation restreinte estime que le nombre de personnes impactées par ce dysfonctionnement et identifiées par la société - 38 329 entre mai 2010 et novembre 2012 - reste conséquent plus de 4 ans après la découverte de l’anomalie, à savoir 5 644 en septembre 2016. Elle souligne que la radiation des 32 685 personnes du fichier et par conséquent la diminution du nombre de personnes impactées résultent non pas d’une action de la société visant à rectifier les dates d’inscription inexactes au FICP mais uniquement de l’écoulement du temps ou de la régularisation des incidents de paiement.
La formation restreinte en déduit que cette situation a conduit au traitement, de manière persistante, de données inexactes dans le FICP en termes de date d’inscription, jusqu’à ce que la CNIL diligente une mission de contrôle sur place en août 2016.
En dernier lieu, la formation restreinte relève que si les engagements que la société a pris pour l’avenir sont de nature à témoigner d’une démarche de conformité, ils sont néanmoins sans incidence sur le manquement caractérisé dans la présente affaire.
En conséquence, la formation restreinte considère que la société a manqué à son obligation de traiter des données exactes et mises à jour et que le manquement à l’article 6-4° de loi du 6 janvier 1978 modifiée est caractérisé.
Sur la sanction et la publicité
Le manquement commis par la société X justifie à lui seul que soit prononcé à son encontre un avertissement.
Compte tenu d’une part, du nombre de personnes concernées par le traitement de données à caractère personnel inexactes, à savoir 38 329 personnes dont 5 644 clients toujours impactés en septembre 2016, d’autre part, de la persistance de ce manquement durant plus de quatre ans après le constat de l’anomalie technique l’ayant engendré et enfin, de la dimension nationale du fichier en cause et de son rôle dans la prévention du surendettement des ménages, la formation restreinte considère que les faits dont elle est saisie sont d’une particulière gravité et doivent être portés à la connaissance des professionnels du secteur et des particuliers afin de leur rappeler leurs obligations et droits respectifs. La formation restreinte décide donc de rendre publique sa décision.
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide :
de prononcer un avertissement à l’encontre de la société X;
de rendre publique sa délibération, qui sera anonymisée à l’expiration d’un délai de deux ans à compter de sa publication.
Le Président
Jean-François CARREZ
Cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’Etat dans un délai de deux mois à compter de sa notification.
MESSIEURS LES GERANTS
[…]
RECOMMANDE AR n° 2C 112 353 2811 1
Références à rappeler dans toute correspondance :
APR/MDM151063/CTX 2015-019
CTRL n° 2015-253C
Paris, le
Messieurs,
Je fais suite à la décision n° 2015-049 que j’ai prise le 24 juin 2015 mettant en demeure la société X située […], ainsi qu’à vos courriers en réponse reçus les 7 août 2015, 1er et 12 février 2016.
Au regard des éléments de réponse apportés, je vous informe que j’ai décidé de procéder à la clôture en l’état de votre dossier ainsi que de la procédure de contrôle n° 2015-253C. Je prends note de la mise en œuvre de mots de passe complexes. J’appelle toutefois votre attention sur la nécessité que ces derniers soient composés de 8 caractères alphanumériques – majuscules et minuscules – et spéciaux.
Je vous informe par ailleurs que si était constatée, à l’occasion de vérifications ultérieures, la persistance ou la réitération des manquements visés dans la mise en demeure, une procédure de sanction pourrait être engagée à l’encontre de votre organisme conformément aux articles 45 et suivants de la loi du 6 janvier 1978 modifiée. Dans cette hypothèse, je pourrais procéder à la désignation d’un rapporteur, qui vous serait notifiée, sans qu’une nouvelle mise en demeure ne vous soit adressée préalablement.
Le service des sanctions se tient à votre disposition pour tout renseignement complémentaire.
Je vous prie d’agréer, Messieurs, l’expression de mes salutations distinguées.
Isabelle FALQUE-PIERROTIN
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;Vu la directive 2002/58/CE du 12 juillet 2002 concernant le traitement de données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques, modifiée par la directive 2009/136/CE du 25 novembre 2009 ;Vu le code de la consommation, notamment ses articles L. 213-1, L. 221-18, L. 223-1 et suivants et L. 242-16 ;Vu le code des postes et des communications électroniques, notamment son article L. 34-5 ;Vu le code monétaire et financier, notamment son article L. 133-24 ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 24-I ;Vu la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l'économie numérique ;Vu l'ordonnance n° 2011-1012 du 24 août 2011 relative aux communications électroniques ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Vu le décret n° 2015-556 du 19 mai 2015 modifié relatif à la liste d'opposition au démarchage téléphonique ;Vu la délibération n°
2005-112 du 7 juin 2005 portant création d'une norme simplifiée concernant les traitements automatisés de données à caractère personnel relatifs à la gestion des fichiers de clients et de prospects et portant abrogation des normes simplifiées 11, 17 et 25 ;Vu la délibération n° 2005-213 du 11 octobre 2005 portant adoption d'une recommandation concernant les modalités d'archivage électronique, dans le secteur privé, de données à caractère personnel ;Vu la délibération n° 2013-358 du 14 novembre 2013 portant adoption d'une recommandation concernant le traitement des données relatives à la carte de paiement en matière de vente de biens ou de fourniture de services à distance et abrogeant la délibération n° 03-034 du 19 juin 2003 ;Vu la délibération n° 2013-378 du 5 décembre 2013 portant adoption d'une recommandation relative aux cookies et aux autres traceurs visés par l'article 32-II de la loi du 6 janvier 1978 ;Vu la délibération n° 2016-165 du 26 mai 2016 portant avis sur un projet de résolution de l'assemblée générale de la société Opposetel relative à la création d'un téléservice, dénommé  Bloctel , ayant pour finalité la gestion de la liste d'opposition au démarchage téléphonique ;
Après avoir entendu M. François PELLEGRINI, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,Formule les observations suivantes :En application de l'article 24 de la loi du 6 janvier 1978 modifiée, la Commission nationale de l'informatique et des libertés est habilitée à établir des normes destinées à simplifier l'obligation de déclaration des traitements les plus courants dont la mise en œuvre, dans des conditions régulières, n'est pas susceptible de porter atteinte à la vie privée ou aux libertés.Les traitements informatisés relatifs à la gestion de clients et de prospects sont de ceux qui peuvent, sous certaines conditions, relever de cette définition.Cette norme permet aux responsables de traitement d'effectuer une déclaration simplifiée, dans les conditions qu'elle précise, pour les traitements relatifs à la gestion de clients et de prospects, à l'exclusion de ceux mis en œuvre par les établissements bancaires ou assimilés, les entreprises d'assurances, de santé et d'éducation.La norme simplifiée n° 48 a été adoptée le 7 juin 2005 et modifiée le 21 juin 2012, compte tenu de l'évolution du commerce et des méthodes de prospection. Au regard des délibérations précitées adoptées depuis 2012, il est apparu nécessaire de l'actualiser.Décide :
Article 1
Champ d'application.Peut bénéficier de la procédure de la déclaration simplifiée de conformité à la présente norme tout traitement automatisé relatif à la gestion de clients et de prospects qui répond aux conditions suivantes.
Article 2 
Les finalités des traitements.Le traitement peut avoir tout ou partie des finalités suivantes :
- effectuer les opérations relatives à la gestion des clients concernant :- les contrats ;- les commandes ;- les livraisons ;- les factures ;- la comptabilité, et en particulier la gestion des comptes clients ;- un programme de fidélité au sein d'une entité ou de plusieurs entités juridiques ;- le suivi de la relation client tel que la réalisation d'enquêtes de satisfaction, la gestion des réclamations et du service après vente ;- la sélection de clients pour réaliser des études, sondages et tests produits. Sauf consentement des personnes concernées recueilli dans les conditions prévues à l'article 6 de la présente norme, ces opérations ne doivent pas conduire à l'établissement de profils susceptibles de faire apparaître des données sensibles (origines raciales ou ethniques, opinions philosophiques, politiques, syndicales, religieuses, vie sexuelle ou santé des personnes) ;
- effectuer des opérations relatives à la prospection :- la gestion d'opérations techniques de prospection (ce qui inclut notamment les opérations techniques comme la normalisation, l'enrichissement et la déduplication) ;- la sélection de personnes pour réaliser des actions de fidélisation, de prospection, d'étude, de sondage, de test produit et de promotion. Sauf consentement des personnes concernées recueilli dans les conditions prévues à l'article 6 de la présente norme, ces opérations ne doivent pas conduire à l'établissement de profils susceptibles de faire apparaître des données sensibles (origines raciales ou ethniques, opinions philosophiques, politiques, syndicales, religieuses, vie sexuelle ou santé des personnes) ;- la réalisation d'opérations de sollicitations ;- l'élaboration de statistiques commerciales ;- la cession, la location ou l'échange de ses fichiers de clients et de ses fichiers de prospects ;- l'actualisation de ses fichiers de prospection par l'organisme en charge de la gestion de la liste d'opposition au démarchage téléphonique, en application des dispositions du code de la consommation ;- l'organisation de jeux-concours, de loteries ou de toute opération promotionnelle à l'exclusion des jeux d'argent et de hasard en ligne soumis à l'agrément de l'Autorité de régulation des jeux en ligne ;- la gestion des demandes de droit d'accès, de rectification et d'opposition ;- la gestion des impayés et du contentieux, à condition qu'elle ne porte pas sur des
infractions et/ou qu'elle n'entraîne pas une exclusion de la personne du bénéfice d'un droit, d'une prestation ou d'un contrat ;- la gestion des avis des personnes sur des produits, services ou contenus.
Informations collectées et traitées.Les données susceptibles d'être traitées pour la réalisation des finalités décrites à l'article 2 sont :a) L'identité : civilité, nom, prénoms, adresse, numéro de téléphone (fixe et/ou mobile), numéro de télécopie, adresses de courrier électronique, date de naissance, code interne de traitement permettant l'identification du client. Ce code interne de traitement ne peut être le numéro d'inscription au répertoire national d'identification des personnes physiques ( numéro de sécurité sociale ), ni le numéro de carte bancaire, ni le numéro d'un titre d'identité. Une copie d'un titre d'identité peut être conservée aux fins de preuve de l'exercice d'un droit d'accès, de rectification ou d'opposition ou pour répondre à une obligation légale ;b) Les données relatives aux moyens de paiement : relevé d'identité postale ou bancaire, numéro de chèque, numéro de carte bancaire, date de fin de validité de la carte bancaire, cryptogramme visuel (ce dernier ne devant pas être conservé, conformément à l'article 5 de la présente norme) ;c) Les données relatives à la transaction telles que le numéro de la transaction, le détail de l'achat, de l'abonnement, du bien ou du service souscrit ;d) La situation familiale, économique et financière : vie maritale, nombre de personnes composant le foyer, nombre et âge du (ou des) enfant(s) au foyer, profession, domaine d'activité, catégorie socioprofessionnelle, présence d'animaux domestiques ;e) Les données relatives
au suivi de la relation commerciale : demandes de documentation, demandes d'essai, produit acheté, service ou abonnement souscrit, quantité, montant, périodicité, adresse de livraison, historique des achats et des prestations de services, retour des produits, origine de la vente (vendeur, représentant, partenaire, affilié) ou de la commande, correspondances avec le client et service après vente, échanges et commentaires des clients et prospects, personne(s) en charge de la relation client ;f) Les données relatives aux règlements des factures : modalités de règlement, remises consenties, reçus, soldes et impayés n'entraînant pas une exclusion de la personne du bénéfice d'un droit, d'une prestation ou d'un contrat soumis à autorisation de la commission telle que prévue par les dispositions de l'article 25-I (4°) de la loi du 6 janvier 1978 modifiée. Les informations relatives aux crédits souscrits (montant et durée, nom de l'organisme prêteur) peuvent également être traitées par le commerçant en cas de financement de la commande par crédit ;g) Les données nécessaires à la réalisation des actions de fidélisation, de prospection, d'étude, de sondage, de test produit et de promotion, la sélection des personnes ne pouvant résulter que de l'analyse des données listées au présent article ;h) Les données relatives à l'organisation et au traitement des jeux-concours, de loteries et de toute opération promotionnelle telles que la date de participation, les réponses apportées aux
jeux-concours et la nature des lots offerts ;i) Les données relatives aux contributions des personnes qui déposent des avis sur des produits, services ou contenus, notamment leur pseudonyme ;j) Les données collectées par le biais des actions visées à l'article 32-II de la loi du 6 janvier 1978 modifiée, dans le respect des recommandations figurant dans la délibération n° 2013-378 du 5 décembre 2013.
Article 4
Personnes habilitées à traiter les données et destinataires des informations.Peuvent, dans les limites de leurs attributions respectives, avoir accès aux données à caractère personnel :
- le personnel habilité du service marketing, du service commercial, des services chargés de traiter la relation client et la prospection, des services administratifs, des services logistiques et informatiques ainsi que leurs responsables hiérarchiques ;- le personnel habilité des services chargés du contrôle (commissaire aux comptes, services chargés des procédures internes du contrôle, etc.) ;- le personnel habilité des sous-traitants dès lors que le contrat signé entre les sous-traitants et le responsable du traitement fait mention des obligations incombant aux sous-traitants en matière de protection de la sécurité et de la confidentialité des données (art. 35 de la loi du 6 janvier 1978 modifiée) et précise notamment les objectifs de sécurité devant être atteints.
Peuvent être destinataires des données :
- les partenaires, les sociétés extérieures ou les filiales d'un même groupe de sociétés dans les conditions prévues par l'article 6 de la présente norme ;- les organismes, les auxiliaires de justice et les officiers ministériels, dans le cadre de leur mission de recouvrement de créances ;- l'organisme en charge de la gestion de la liste d'opposition au démarchage téléphonique.
Article 5
Durées de conservation.Concernant les données relatives à la gestion de clients et de prospects :Les données à caractère personnel relatives aux clients ne peuvent être conservées au-delà de la durée strictement nécessaire à la gestion de la relation commerciale.Toutefois, les données permettant d'établir la preuve d'un droit ou d'un contrat, ou conservées au titre du respect d'une obligation légale, peuvent faire l'objet d'une politique d'archivage intermédiaire pour une durée n'excédant pas la durée nécessaire aux finalités pour lesquelles elles sont conservées, conformément aux dispositions en vigueur (notamment mais non exclusivement celles prévues par le code de commerce, le code civil et le code de la consommation). Il convient de prévoir à cet effet une base de données d'archives dédiée ou une séparation logique dans la base de données active, après avoir opéré un tri des données pertinentes à archiver.Pour pouvoir conserver, au-delà de la durée de conservation fixée au regard de l'article 6 (5°) de la loi, des informations relatives à des clients ou des prospects à des fins d'analyses ou d'élaboration de statistiques agrégées, les données doivent être anonymisées de manière irréversible, en procédant à la purge de toutes les données à caractère personnel, y compris les données indirectement identifiantes. A cet égard, le G29 a adopté un avis le 10 avril 2014 sur les techniques d'anonymisation.Par ailleurs et sous réserve du respect de l'article 6 de la présente
norme, les données des clients utilisées à des fins de prospection commerciale peuvent être conservées pendant un délai de trois ans à compter de la fin de la relation commerciale (par exemple, à compter d'un achat, de la date d'expiration d'une garantie, du terme d'un contrat de prestations de services ou du dernier contact émanant du client).Les données à caractère personnel relatives à un prospect non client peuvent être conservées pendant un délai de trois ans à compter de leur collecte par le responsable de traitement ou du dernier contact émanant du prospect (par exemple, une demande de documentation ou un clic sur un lien hypertexte contenu dans un courriel ; en revanche, l'ouverture d'un courriel ne peut être considérée comme un contact émanant du prospect).Au terme de ce délai de trois ans, le responsable de traitement pourra reprendre contact avec la personne concernée afin de savoir si elle souhaite continuer à recevoir des sollicitations commerciales. En l'absence de réponse positive et explicite de la personne, les données devront être supprimées ou archivées conformément aux dispositions en vigueur, et notamment celles prévues par le code de commerce, le code civil et le code de la consommation.Concernant les pièces d'identité :En cas d'exercice du droit d'accès ou de rectification, les données relatives aux pièces d'identité peuvent être conservées pendant le délai prévu à l'article 9 du code de procédure pénale (soit un an). En cas d'exercice du droit
d'opposition, ces données peuvent être archivées pendant le délai de prescription prévu à l'article 8 du code de procédure pénale (soit trois ans).Concernant les données relatives aux cartes bancaires :Les données relatives aux cartes bancaires doivent être supprimées une fois la transaction réalisée, c'est-à-dire dès son paiement effectif, qui peut être différé à la réception du bien, augmenté, le cas échéant, du délai de rétractation prévu pour les contrats conclus à distance et hors établissement, conformément à l'article L. 221-18 du code de la consommation.Dans le cas d'un paiement par carte bancaire, le numéro de la carte et la date de validité de celle-ci peuvent être conservés pour une finalité de preuve en cas d'éventuelle contestation de la transaction, en archives intermédiaires, pour la durée prévue par l'article L. 133-24 du code monétaire et financier, en l'occurrence treize mois suivant la date de débit. Ce délai peut être étendu à quinze mois afin de prendre en compte la possibilité d'utilisation de cartes de paiement à débit différé. Ces données doivent être utilisées uniquement en cas de contestation de la transaction. Les données conservées à cette fin doivent faire l'objet de mesures de sécurité, telles que décrites à l'article 8 de la présente norme et à l'article 5 de la délibération n° 2013-358 du 14 novembre 2013 susvisée.Les données relatives aux cartes bancaires peuvent être conservées plus longtemps sous réserve d'obtenir le consentement exprès du