AgentPublic/cnil huggingface dataset:
44. L’article 12 du Règlement dispose, d’une part, que " le responsable du traitement facilite l’exercice des droits conférés à la personne concernée au titre des articles 15 à 22. Dans les cas visés à l’article 11, paragraphe 2, le responsable de traitement ne refuse pas de donner suite à la demande de la personne concernée d'exercer les droits que lui confèrent les articles 15 à 22, à moins que le responsable du traitement ne démontre qu'il n'est pas en mesure d'identifier la personne concernée " et que " lorsque le responsable du traitement a des doutes raisonnables quant à l'identité de la personne physique présentant la demande visée aux articles 15 à 21, il peut demander que lui soient fournies des informations supplémentaires nécessaires pour confirmer l'identité de la personne concernée ".
45. Il dispose, d’autre part, que " le responsable du traitement fournit à la personne concernée des informations sur les mesures prises à la suite d'une demande formulée en application des articles 15 à 22, dans les meilleurs délais et en tout état de cause dans un délai d'un mois à compter de la réception de la demande. Au besoin, ce délai peut être prolongé de deux mois, compte tenu de la complexité et du nombre de demandes. Le responsable du traitement informe la personne concernée de cette prolongation et des motifs du report dans un délai d'un mois à compter de la réception de la demande. "
46. En premier lieu, le rapporteur a relevé que, sauf dans les cas d’opposition au traitement des données à des fins de prospection commerciale, la société demandait un justificatif d’identité de manière systématique lors de l’exercice d’un droit.
47. La société a souligné, lors de ses échanges avec le rapporteur, que cette pratique a été abandonnée dès le 23 octobre 2019.
48. La formation restreinte relève que la société ne réservait pas la demande d’un justificatif d’identité aux seuls cas où existait un doute raisonnable sur l’identité de la personne, cette demande étant systématique. Elle souligne que la présence (constatée lors des contrôles) des justificatifs d’identité accompagnant les demandes, comme les courriers en réponse de la société communiqués à la CNIL par les plaignants, ont démontré l’existence de cette pratique. En effet, la CNIL a été informée d’une demande en ce sens s’agissant de Messieurs […], […], […], […], […] et […] et de Madame […] sans que la société justifie de doutes raisonnables quant à l’identité de la personne.
49. La formation restreinte considère que le caractère systématique des demandes de justificatifs d’identité, reconnu par la société, suffit à démontrer que ces demandes n’étaient pas limitées aux situations où la société avait " des doutes raisonnables quant à l'identité de la personne physique présentant la demande ".
50. Elle considère donc, au vu de ces éléments, qu’un manquement à l’article 12 du RGPD est constitué.
51. Elle souligne néanmoins les modifications apportées par la société et constate que les nouvelles pratiques de la société sont, au jour de la séance, en conformité avec le Règlement. Il est en effet démontré que les courriers de réponse aux demandes d’exercice de droit n’exigent plus de justificatif d’identité de manière systématique.
52. En second lieu, le rapporteur reproche à la société le délai dans lequel il était répondu aux demandes d’exercice de droit. Il souligne que les délais de réponse varient mais peuvent atteindre neuf mois, sans qu’aucune information ne soit communiquée dans l’attente aux personnes concernées. Il estime que ces retards de traitement sont récurrents. À titre d’illustration, la demande de suppression et d’opposition de Madame […] a été reçue le 4 juillet 2018. Le retrait de son consentement à la prospection publicitaire a été retranscrit en base de données le 15 avril 2019, soit plus de neuf mois plus tard. La demande d’accès de Monsieur […] a été reçue le 7 novembre 2018 et une réponse lui a été apportée le 10 juin 2019, soit plus de sept mois plus tard. La demande d’accès et d’opposition de Monsieur […] a été enregistrée dans l’outil " JIRA " le 10 janvier 2019. Il ressort pourtant des documents communiqués à la CNIL par le plaignant que la société a accusé réception de sa première demande dès le 9 novembre 2018. Une réponse a été apportée à sa demande concernant l’opposition à la prospection le 11 juin 2019, soit plus de sept mois plus tard.
53. Sur ce point, la société reconnaît, tant dans sa deuxième réponse aux observations du rapporteur que lors de la séance de la formation restreinte, un retard chronique dans le traitement des demandes au moment du contrôle. Elle souligne cependant les efforts particulièrement importants déployés depuis les opérations de contrôle, la restructuration en profondeur de l’organisation des équipes travaillant sur ces questions, et la transformation de leurs méthodes de travail, avec notamment le développement de nouveaux outils ad hoc qui améliorent l’attribution et le traitement des demandes d’exercice de droit, réduisant leur délai de traitement ainsi que le risques d’erreur.
54. La formation restreinte observe que l’organisation de la société entraînait, structurellement, un retard dans le traitement des demandes et prend note que la société indique que cette défaillance structurelle trouvait son origine dans une mauvaise appréciation des conséquences du RGPD. L’entrée en application de ce texte a augmenté le nombre de demandes auxquelles elle a dû faire face, dans des proportions inattendues (passant, avant l’entrée en application du RGPD, d’une à deux demandes par jour à parfois plus de 75 demandes par jour après le 25 mai 2018).
55. La formation restreinte constate que ce défaut d’anticipation a eu des conséquences directes pour les personnes exerçant leurs droits, les contraignant parfois à formaliser plusieurs relances face au silence gardé par la société. La formation restreinte considère donc, au vu de ces éléments, qu’un manquement à l’article 12 du RGPD est constitué.
56. Elle souligne néanmoins les modifications profondes et efficaces apportées par la société et constate que les nouvelles pratiques de la société sont, au jour de la séance, en conformité avec le Règlement. La société démontre aujourd'hui un délai moyen de réponse aux demandes inférieur à quinze jours, parfois même inférieur à dix jours. Elle démontre également que plus aucune réponse n’a été envoyée hors délai depuis le changement de ses processus internes et le développement de nouveaux outils.
C. Sur le manquement relatif à l’information des personnes
57. L’article 12 du RGPD dispose que " le responsable du traitement prend des mesures appropriées pour fournir toute information visée aux articles 13 et 14 […] en ce qui concerne le traitement à la personne concernée d'une façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples […] ". Les articles 13 et 14 dressent la liste des informations devant être communiquées aux personnes concernées lorsque les données à caractère personnel sont collectées directement auprès d’elles et indirectement.
1. S’agissant de l’accessibilité de l’information
58. En premier lieu, le rapporteur considère que l’information délivrée n’était pas aisément accessible.
59. S’agissant d’abord de l’information communiquée sur le site […], il relève en effet que la multiplicité des pages à consulter, des liens présents dans les différentes pages, ainsi que la redondance des informations ne permettent pas de considérer que les informations pertinentes pour les personnes sont aisément accessibles.
60. S’agissant ensuite de l’information communiquée aux personnes adhérant en ligne au programme fidélité, le rapporteur estime que les informations n’étaient pas aisément accessibles puisqu’elles étaient insérées à l’intérieur des conditions générales d'utilisation de la carte […].
61. S’agissant enfin de l’information délivrée aux personnes adhérant au programme fidélité à l’aide d’un bulletin papier, le rapporteur relève que les informations n’étaient pas non plus aisément accessibles. Il relève en effet que le bulletin résumait les mentions essentielles et renvoyait pour des mentions plus complètes, vers la page d’accueil du site […] sans plus de précisions.
62. Sur ces points, la société avance qu’une page dédiée à la protection des données était directement accessible par un lien hypertexte en pied de page, et qu’elle a modifié les mentions d’information sur son site web le 22 novembre 2019, soit préalablement à l’ouverture de la procédure de sanction et à la notification du rapport. Ces modifications importantes ont notamment consisté en la fusion de l’ensemble des mentions d’information dans un document unique, la conservation d’une page dédiée à l’exercice des différents droits, et une reformulation de l’information communiquée afin de la rendre plus lisible, plus précise et plus simple.
63. La formation restreinte relève que la société a fait le choix d’une information en plusieurs niveaux, comme le lui permet le Règlement.
64. Dans cette configuration, la formation restreinte estime particulièrement important que l’information demeure " aisément accessible ", comme l’exige l’article 12 du Règlement. La présentation de l’information en plusieurs niveaux augmente en effet le risque que l’information soit plus difficile à trouver. Or, le considérant 39 du RGPD souligne que " le principe de transparence exige que toute information et communication relatives au traitement de ces données à caractère personnel soient aisément accessibles, faciles à comprendre, et formulées en des termes clairs et simples ". Le considérant 58 dispose également que " le principe de transparence exige que toute information adressée au public ou à la personne concernée soit concise, aisément accessible et facile à comprendre, et formulée en des termes clairs et simples et, en outre, lorsqu'il y a lieu, illustrée à l'aide d'éléments visuels. "
65. En l’espèce, la formation restreinte considère, d’une part, que l’accès aux mentions d’information sur le site […] était malaisé, puisque ces dernières étaient regroupées dans l’article 3 des conditions générales d'utilisation du site […] que l’utilisateur devait donc parcourir. Il en va de même pour les mentions d’information relatives au programme de fidélité qui figuraient dans l’article 10 des conditions générales d'utilisation de la carte […].
66. Or ces deux documents étaient d’une longueur telle que l’utilisateur était contraint de faire défiler un grand nombre de pages et de lire plusieurs dizaines de paragraphes (une quinzaine dans les conditions générales d'utilisation du site […], plus de soixante-dix dans les conditions générales d'utilisation de la carte […]) avant de pouvoir trouver les informations relatives à la protection de ses données à caractère personnel. La formation restreinte considère en conséquence que l’accès à ces informations n’était pas aisé et que l’utilisateur devait faire preuve d’une détermination particulière pour accéder aux informations sur ces questions. Elle rappelle que l’information doit être présentée de manière efficace et succincte afin d’éviter de noyer l’information à délivrer parmi d’autres contenus informatifs.
67. La difficulté d’accès à ces informations était en outre renforcée par leur redondance. En effet, les informations relatives à la protection des données à caractère personnel étant dispersées et morcelée entre plusieurs documents (conditions générales d'utilisation, conditions générales de vente, page relative à la protection des " données personnelles ", page dédiée à l’exercice des droits), certaines informations n’étaient présentes que sur certaines pages, alors que d’autres étaient présentées plusieurs fois.
68. Afin que l’utilisateur n’ait pas à chercher les informations pertinentes, la formation restreinte considère que celles-ci devraient être regroupées dans un document unique distinct des conditions générales d'utilisation. Elle partage ici la position développée par le G29 dans les lignes directrices sur la transparence au sens du Règlement adoptée dans leur version révisée le 11 avril 2018 (ci-après " les lignes directrices sur la transparence ") qui estime que " la personne concernée ne doit pas avoir à chercher activement les informations couvertes par ces articles parmi d’autres informations telles que les conditions d’utilisation d’un site internet ".
69. Elle estime, d’autre part, que lorsqu’un responsable de traitement fait le choix de communiquer aux personnes concernées une information en plusieurs niveaux, il importe non seulement que le deuxième niveau d’information détaille l’ensemble des mentions relatives au traitement mais également que le premier niveau d’information en présente les caractéristiques essentielles. Cette exigence d’accessibilité, telle qu’éclairée par le considérant 39 du RGPD, est notamment rappelée dans les lignes directrices sur la transparence. Le G29 préconise notamment que " le premier niveau/la première modalité inclue les détails de la finalité du traitement, l’identité du responsable du traitement et une description des droits des personnes concernées ".
70. Or, la formation restreinte relève que le premier niveau d’information présent sur le site […], accessible à partir du lien " données personnelles ", ne fournissait pas ces informations essentielles mais uniquement quelques informations d’ordre général comme la possibilité, pour les personnes concernées, de " consulter les données personnelles qui [les] concernent " ou d’ " exercer les différents droits " dont elles bénéficient, ou l’une des finalités du traitement (la présentation d’offres personnalisées).
71. Concernant les personnes adhérant au programme fidélité par le bulletin papier, la formation restreinte considère que, en renvoyant ces personnes vers le site […] sans plus de précisions, la société n’a pas rendu l’information aisément accessible. La société aurait dû, a minima, préciser la page ou l’adresse URL à laquelle ces informations étaient disponibles. La formation restreinte relève que ce défaut d’accessibilité par un simple renvoi sur la page d’accueil du site était aggravé par les défauts précédemment soulignés concernant le site […].
72. En second lieu, le rapporteur considère que l’information délivrée n’était pas rédigée en des termes clairs et simples.
73. Il considère que l’ensemble des mentions d’informations (dans les conditions générales d'utilisation du site […], les formulaires papiers d’adhésion au programme fidélité et pour l’adhésion au même programme par l’espace client du site […]) utilisaient des termes imprécis et peu clairs et n’étaient pas aisément compréhensibles en raison de leur mise en page.
74. Sur ce point, la société met en avant les modifications importantes apportées aux mentions d’information préalablement à l’ouverture de la procédure de sanction. Elle indique avoir, dès le mois de novembre 2019, mis en lignes une page d’information spécifique à la protection des données personnelles, séparée des conditions générales d'utilisation, accessible directement depuis la page d’accueil par un lien hypertexte.
75. La formation restreinte relève que les mentions d’information présentes sur le site […] (tant dans les conditions générales d'utilisation que dans le processus d’adhésion au programme fidélité) et sur les bulletins d’inscription papier comportaient, au moment du contrôle le 24 mai 2019, des formulations peu claires, ambigües, ou imprécises. L’utilisation, de manière quasiment systématique notamment dans les conditions générales d'utilisation du site […] et du programme fidélité, de termes tels que " ces traitements incluent notamment ", " pour l’une ou plusieurs des raisons suivantes " ou " vos données sont susceptibles d’être utilisées " ne permettent pas aux personnes concernées d’appréhender pleinement les traitements mis en œuvre. De la même manière, des formules telles que " vous disposez également d’un droit d’obtenir la limitation d’un traitement et d’un droit à la portabilité des données que vous avez pu fournir, qui trouveront à s’appliquer dans certains cas " (conditions générales d'utilisation de la carte […]) ne délivrent pas une information complète aux personnes concernées, dès lors que ces dernières ne peuvent comprendre, à leur lecture, les situations dans lesquelles ces droits leurs sont ouverts et les modalités pour les faire appliquer.
76. Les conditions générales d'utilisation du site […] et du programme de fidélité ne comprenaient, dans la majorité des cas, que des exemples relatifs aux données collectées (" nous pouvons éventuellement disposer de données de l’open Data "), aux opérations réalisées ou aux finalités poursuivies (" vos données pourront faire l’objet d’un traitement pour l’une ou plusieurs des raisons suivantes "), ou des formulations générales et évasives. Or la formation restreinte rappelle que le considérant 39 du RGPD souligne l’importance du principe de transparence, précisant que " les personnes physiques devraient être informées des risques, règles, garanties et droits liés au traitement des données à caractère personnel et des modalités d'exercice de leurs droits en ce qui concerne ce traitement. " La formation restreinte rappelle que l’information communiquée présente une importance capitale, puisque sa conformité conditionne la validité de l’engagement de la personne et sa volonté de permettre le traitement de données à caractère personnel par un responsable de traitement déterminé. La personne concernée devrait être en mesure, à la lecture des informations qui lui sont communiquées, de comprendre la portée générale du traitement, ce qui n’est pas le cas en l’espèce.
77. Les formulations utilisées, souvent inutilement compliquées, rendaient la lecture des mentions d’information particulièrement fastidieuse, même pour une personne éclairée. Par exemple, une phrase comme " vous pouvez demander à exercer votre droit d’opposition pour motif pour des raisons tenant à votre situation particulière, à un traitement de données personnelles vous concernant lorsque le traitement est fondé sur l’intérêt légitime du responsable de traitement y compris le profilage " extraite des conditions générales du site […] ne permet pas à un utilisateur profane de comprendre ni l’existence, ni la portée, ni les conditions d’exercice de son droit d’opposition. Il en va de même pour la phrase " vos données pourront peut-être transmises à tout ou partie des destinataires suivantes : […] les marques partenaires, mais dans ce cas ces derniers n’ont pas accès ni directement ni indirectement aux données vous concernant et seuls des données liées à votre profil sans qu’il soit possible de vous identifier directement ou indirectement, aux sociétés du groupe […] pour les finalités susvisées " s’agissant des destinataires des données.
78. La formation restreinte rappelle que l’information présentée était destinée à l’ensemble des utilisateurs des services de la société, qui peuvent avoir des profils très divers. La société aurait dû adopter un style permettant d’être compris par le plus grand nombre. La formation restreinte considère que tel n’était pas le cas en l’espèce.
79. D’une manière générale, la formation restreinte rappelle que les mentions d’information doivent s’attacher, autant que faire se peut, à utiliser un vocabulaire simple, faire des phrases courtes et employer un style direct, mais aussi éviter les termes juridiques ou techniques, les termes abstraits ou ambigus et les formules telles que " nous pourrions utiliser vos données ", " une possible utilisation de vos données ", " quelques données vous concernant sont utilisées ", etc.
80. Au demeurant, la formation restreinte relève que, malgré le nombre très important d’informations communiquées, ces dernières n’étaient ni hiérarchisées, ni ordonnées. L’information prenait la forme d’une longue énumération portant sur les différents points du Règlement. Elle considère qu’une telle présentation ne permet pas aux personnes concernées de trouver facilement l’information qu’elle cherche, la contraignant à lire l’ensemble des mentions d’information. Elle estime donc que la présentation utilisée ne respectait pas l’exigence d’accessibilité posée par l’article 12 du Règlement, éclairée par les lignes directrices sur la transparence déjà citées.
81. La formation restreinte note que la combinaison des articles 12 et 13 du Règlement impose au responsable de traitement que l’information fournie soit à la fois complète et aisément compréhensible. Cet équilibre peut être difficile à atteindre lorsque, comme en l’espèce, les données traitées, les finalités poursuivies et les durées de conservations sont nombreuses et différentes. Pour autant, elle considère que la qualité de l’information fournie est centrale dans la décision des personnes concernées d’engager une relation commerciale. À ce titre, la formation restreinte estime que la société aurait dû porter à l’information communiquée une attention toute particulière et aboutir, avant même les contrôles opérés, à un résultat plus lisible pour les personnes.
2. S’agissant du contenu de l’information
82. Le rapporteur considère que l’information communiquée aux personnes est incomplète à plusieurs titres.
83. Premièrement, il indique que le responsable de traitement n’est pas correctement identifié sur le site […].
84. Deuxièmement, le rapporteur souligne que la base juridique des traitements n’est pas indiquée dès lors que la société se contente d’indiquer que les données à caractère personnel peuvent être traitées en raison du consentement de l’utilisateur, de l’exécution du contrat ou de l’intérêt légitime du responsable de traitement, sans plus de précisions.
85. Troisièmement, le rapporteur considère que l’information relative aux pays où peuvent être transférées les données n’est pas complète, les garanties entourant le transfert n’étant pas précisées, de même que le moyen d’obtenir copie de ces garanties.
86. Quatrièmement, il considère que les personnes ne sont pas informées, pour l’ensemble de leurs données, de la durée pendant laquelle elles peuvent être conservées.
87. Sur l’ensemble de ces points, la société a indiqué avoir apporté des modifications antérieurement et postérieurement à la notification du rapport et visant à sa mise en conformité. Elle avance qu’elle fournissait, au jour des contrôles, des informations complètes sur plusieurs points, et notamment les coordonnées de son délégué à la protection des données, les destinataires des données, l’existence de droits. Sur les points où elle reconnaît l’insuffisance de l’information qu’elle délivrait, elle indique avoir modifié ses mentions d’information conformément aux demandes du rapporteur pendant la procédure, notamment quant à l’identité du responsable de traitement, les finalités et bases légales des traitements opérés, les durées de conservation et le transfert de données à caractère personnel hors de l’Union européenne.
88. Sur le premier point, il ressort des constatations de la délégation de contrôle que la société […] était indiquée comme étant responsable des traitements mis en œuvre à travers le site […]. Les sociétés […], […], […], […] et […] étaient désignées dans les mentions d’information comme responsables de traitement conjoints pour le programme de fidélité.
89. La formation restreinte considère, sur le premier point, que la responsabilité des traitements mis en œuvre à partir du site […] incombe à la société […], qui détermine seule la politique marketing commune à tous les formats des magasins en France. Cette interprétation est conforme à l’analyse de la société […], qui se considère également responsable de traitement comme elle l’a indiqué à la délégation de contrôle le 28 mai 2019.
90. En conséquence, la formation restreinte considère que les mentions portées sur le site […] comme dans les conditions générales d'utilisation de la carte […] étaient erronées.
91. Sur le deuxième point, la formation restreinte rappelle que les personnes concernées doivent être informées de la base légale du ou des traitements mis en œuvre. Cette exigence ne saurait être satisfaite de la seule référence faite aux bases légales existantes lorsque plusieurs traitements sont mis en œuvre. Dans cette hypothèse, les personnes ne sont en effet pas informées de la base légale applicable à chacun des traitements réalisés.