AgentPublic/cnil huggingface dataset:
76. En outre, la formation restreinte considère que la politique de confidentialité présente en page d’accueil du site web était incomplète s’agissant de l’information relative aux durées de conservation des données à caractère personnel des prospects.
77. La formation restreinte considère également que la politique de confidentialité ne permet pas aux personnes de savoir, pour chaque traitement, quelle base juridique fonde celui-ci, ni l’intérêt légitime poursuivi par le responsable de traitement lorsqu’un traitement de données à caractère personnel est fondé sur cette base légale.
78. La formation restreinte considère en outre que la politique de confidentialité est imprécise s’agissant de l’information relative aux destinataires des données à caractère personnel puisqu’il est indiqué que les données " peuvent être transmises à certains partenaires […] ". La formation restreinte considère que si la société n’est pas tenue de fournir l’identité de l’intégralité des destinataires des données, elle doit cependant, au moins, informer les personnes des catégories de destinataires des données.
79. Enfin, la formation restreinte observe qu’aucune information relative à la protection des données à caractère personnel n’était fournie aux personnes créant un compte sur l’application mobile.
80. Elle relève néanmoins que, dans le cadre de la procédure, la société a justifié avoir pris des mesures de mise en conformité avec les articles 12 et 13 du RGPD.
81. Tout d’abord, concernant le formulaire d’inscription sur le site web, la société justifie avoir inséré dans le formulaire, un lien intitulé " Vos données nominatives " renvoyant à la politique de confidentialité. La société justifie également avoir mis en conformité sa politique de confidentialité qui contient à présent l’intégralité des informations exigées par l’article 13 du RGPD. Enfin, la société indique qu’elle a opéré une refonte de son application mobile depuis le 5 mars 2020, et que la page d’inscription et la page d’accueil de l’application proposent, depuis, un lien renvoyant vers la politique de confidentialité, qui contient également l’ensemble des informations exigées par l’article 13 du RGPD.
82. Dans ces conditions, la formation restreinte considère que le manquement aux articles 12 et 13 du RGPD est constitué, mais que la société s’était mise en conformité à la date de clôture de l’instruction.
D. Sur le manquement relatif à l’obligation de respecter le droit d’accès des personnes en application de l’article 15 du RGPD
83. L’article 15, alinéa 1, du RGPD prévoit que le droit pour une personne d’obtenir du responsable du traitement l’accès aux données à caractère personnel la concernant et notamment " lorsque les données à caractère personnel ne sont pas collectées auprès de la personne concernée, tout information disponible quant à leur source ".
84. Il est également prévu à l’alinéa 3 du même article que " le responsable du traitement fournit une copie des données à caractère personnel faisant l’objet d’un traitement ".
85. Enfin l’article 12.4 du RGPD prévoit que " le responsable du traitement fournit à la personne concernée des informations sur les mesures prises à la suite d’une demande formulée en application des articles 15 à 22, dans les meilleurs délais et en tout état de cause dans un délai d’un mois à compter de la réception de la demande. "
86. Lors de l’instruction de deux plaintes reçues par la CNIL (saisines n° […] et […]), il est apparu que la société a manqué à son obligation de fournir aux plaignants une copie des données à caractère personnel les concernant qu’elle détenait dans sa base de données, ainsi qu’une information relative à la source de ces données.
87. S’agissant de la première plainte (n° […]), la société soutient que postérieurement à la saisine de la CNIL par le plaignant, Monsieur X, elle lui aurait communiqué des éléments justificatifs précisant que la désinscription des listes avait été infructueuse du fait d’une redirection des courriels d’une seconde adresse courriel vers la première.
88. Concernant la seconde plainte (n° […]), la société soutient que, postérieurement à la saisine de la CNIL par le plaignant, Monsieur Y, elle lui aurait communiqué la source de ses données à caractère personnel. La société ajoute que la demande formulée par Monsieur Y était une demande de portabilité relevant de l’article 20 du RGPD et non une demande portant sur le droit d’accès relevant de l’article 15 du RGPD.
89. Dans le cadre de la procédure la société a fait valoir qu’elle n’avait pas compris le périmètre de ces deux demandes.
90. En premier lieu, la formation restreinte relève qu’il ressort de la plainte déposée par Monsieur X que ce dernier a demandé à la société, par courriel du 8 novembre 2018, qu’une copie de l’ensemble de ses données à caractère personnel lui soit adressée ainsi que des informations sur la source de ses données. La formation restreinte relève que la société a uniquement indiqué en retour à Monsieur X qu’il était bien désinscrit de ses listes de diffusion.
91. La formation restreinte relève ainsi qu’il ressort des réponses apportées par la société au plaignant qu’elle ne lui a pas communiqué une copie de ses données à caractère personnel, ni leur source, tel que cela lui était demandé.
92. En second lieu, la formation restreinte relève qu’il ressort de la plainte déposée par Monsieur Y que la société a répondu à sa demande d’accès du 14 décembre 2018 plus de cinq mois après, soit le 14 mai 2019.
93. La formation restreinte considère que la société n’a pas indiqué la source des données, mais s’est contentée de préciser à Monsieur Y avoir reconstitué son adresse électronique sur la base d’une autre adresse électronique sans lui indiquer pour autant que cette autre adresse électronique avait été obtenue via le réseau social professionnel [...]. Ainsi la société a seulement énuméré le type de données qu’elle traitait. La formation restreinte considère également qu’il était clair qu’il ne s’agissait pas d’une demande de portabilité, notamment en ce que Monsieur Y indiquait précisément dans son courriel adressé à la société le 14 décembre 2018 " […] je souhaite introduire une demande d’accès au titre du règlement européen sur la protection des données (RGPD/GDPR) afin d’obtenir une copie de toute information que vous conservez à mon sujet, que ce soit sous forme informatisée ou manuelle, en relation avec mes informations […] ". En tout état de cause, que ce soit une demande adressée à la société au titre de l’article 15 du RGPD ou sur le fondement de son article 20, la formation restreinte considère que la société n’y a pas fait droit puisqu’aucun jeu de données le concernant ne lui a été communiqué sous quelque format que ce soit.
94. Dans ces conditions, la formation restreinte considère que le manquement à l’article 15 du RGPD est constitué sur ces deux plaintes, bien que ces dernières ne démontrent pas un caractère structurel du manquement reproché à la société. La formation restreinte considère par ailleurs que la société ne s’était toujours pas mise en conformité à la date de clôture de l’instruction.
E. Sur le manquement relatif à l’obligation d’assurer la sécurité des données à caractère personnel en application de l’article 32 du RGPD
95. L’article 32 du Règlement dispose :
" 1. Compte tenu de l'état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, y compris entre autres, selon les besoins :
a) la pseudonymisation et le chiffrement des données à caractère personnel ;
b) des moyens permettant de garantir la confidentialité, l'intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement ;
c) des moyens permettant de rétablir la disponibilité des données à caractère personnel et l'accès à celles-ci dans des délais appropriés en cas d'incident physique ou technique ;
d) une procédure visant à tester, à analyser et à évaluer régulièrement l'efficacité des mesures techniques et organisationnelles pour assurer la sécurité du traitement. […]".
96. Le rapporteur a relevé que lors du contrôle en ligne du 3 mai 2019, la délégation a constaté qu’un mot de passe composé d’un seul caractère était accepté lors de la création d’un compte par une personne via l’application mobile et qu’un mot de passe composé de six caractères était accepté lors de la création d’un compte via le site web de la société.
97. Lors du contrôle du 20 février 2020, le rapporteur a relevé que si la société avait pris des mesures permettant de renforcer la composition du mot de passe requis pour la création d’un compte sur le site web de la société, un mot de passe composé d’un seul caractère était toujours accepté pour la création d’un compte sur l’application mobile.
98. Le rapporteur soutient donc que le mot de passe de connexion des clients à leur espace personnel, accessibles depuis l’application mobile, était toujours d’une robustesse insuffisante pour assurer la sécurité des données à caractère personnel, car composé d’un seul caractère.
99. En défense, la société conteste le caractère délibéré de défaut de sécurité qui lui est reproché et indique avoir modifié les mesures relatives à la gestion des mots de passe de connexion aux comptes des utilisateurs sur son application mobile à l’occasion de la mise à jour de cette dernière, le 5 mars 2020.
100. La formation restreinte considère que la longueur et la complexité d’un mot de passe demeurent des critères élémentaires permettant d’apprécier la force de celui-ci. Elle relève à cet égard que la nécessité d’un mot de passe fort est également soulignée par l’Agence nationale de sécurité des systèmes d’information, qui indique qu’ " un bon mot de passe est avant tout un mot de passe fort, c’est à dire difficile à retrouver même à l’aide d’outils automatisés. La force d’un mot de passe dépend de sa longueur et du nombre de possibilités existantes pour chaque caractère le composant. En effet, un mot de passe constitué de minuscules, de majuscules, de caractères spéciaux et de chiffres est techniquement plus difficile à découvrir qu’un mot de passe constitué uniquement de minuscules ".
101. À titre d’éclairage, la formation restreinte rappelle que pour assurer un niveau de sécurité suffisant et satisfaire aux exigences de robustesse des mots de passe, lorsqu’une authentification repose uniquement sur un identifiant et un mot de passe, la CNIL recommande, dans sa délibération n° 2017-012 du 19 janvier 2017, que le mot de passe comporte au minimum douze caractères - contenant au moins une lettre majuscule, une lettre minuscule, un chiffre et un caractère spécial - ou alors comporte au moins huit caractères - contenant trois de ces quatre catégories de caractères - s’il est accompagné d’une mesure complémentaire comme, par exemple, la temporisation d’accès au compte après plusieurs échecs (suspension temporaire de l’accès dont la durée augmente à mesure des tentatives), la mise en place d’un mécanisme permettant de se prémunir contre les soumissions automatisées et intensives de tentatives (ex : " captcha ") et/ou le blocage du compte après plusieurs tentatives d’authentification infructueuses.
102. En l’espèce, la formation restreinte considère, d’abord, qu’au regard des règles peu exigeantes encadrant leur composition, la robustesse des mots de passe admis par la société était trop faible, conduisant à un risque de compromission des comptes associés et des données qu’ils contiennent.
103. La formation relève toutefois que la société justifie avoir modifié les mesures relatives à la gestion des mots de passe de connexion aux comptes des utilisateurs.
104. En conséquence, la formation restreinte considère que le manquement relatif à l’obligation d’assurer la sécurité des données à caractère personnel est constitué mais qu’au vu des éléments apportés par la société au cours de la procédure, il n’y a pas lieu de prononcer une injonction.
III. Sur les mesures correctrices et leur publicité
105. Aux termes du III de l’article 20 de la loi du 6 janvier 1978 modifiée :
" Lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l'informatique et des libertés peut également, le cas échéant après lui avoir adressé l'avertissement prévu au I du présent article ou, le cas échéant en complément d'une mise en demeure prévue au II, saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l'une ou de plusieurs des mesures suivantes : […]
2° Une injonction de mettre en conformité le traitement avec les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi ou de satisfaire aux demandes présentées par la personne concernée en vue d'exercer ses droits, qui peut être assortie, sauf dans des cas où le traitement est mis en œuvre par l'État, d'une astreinte dont le montant ne peut excéder 100 000 € par jour de retard à compter de la date fixée par la formation restreinte ; […]
7° À l'exception des cas où le traitement est mis en œuvre par l'État, une amende administrative ne pouvant excéder 10 millions d'euros ou, s'agissant d'une entreprise, 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l'article 83 du règlement (UE) 2016/679 du 27 avril 2016, ces plafonds sont portés, respectivement, à 20 millions d'euros et 4 % dudit chiffre d'affaires. La formation restreinte prend en compte, dans la détermination du montant de l'amende, les critères précisés au même article 83. "
L’article 83 du RGPD prévoit que " Chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour des violations du présent règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives ", avant de préciser les éléments devant être pris en compte pour décider s'il y a lieu d'imposer une amende administrative et pour décider du montant de cette amende.
106. En premier lieu, concernant le prononcé d’une amende administrative, la société soutient que la formation restreinte ne dispose pas du pouvoir de prononcer une amende pour un manquement à l’article L. 34-5 du CPCE. En outre, la société relève que les articles 20 de la loi du 6 janvier 1978 et 83 du RGPD n’indiquent aucun plafond d’amende applicable pour un manquement à l’article L. 34-5 du CPCE et ne précisent pas les critères à prendre en compte dans la détermination du montant de l’amende.
107. Comme la formation restreinte l’a préalablement démontré, l’alinéa 6 de l’article L. 34-5 du CPCE donne pleinement compétence à la CNIL pour veiller à son respect pour la matière qui la concerne en usant des compétences qui lui sont reconnues par la loi " Informatique et Libertés ".
108. L’article 20, paragraphe III, point 7) de la loi du 6 janvier 1978 modifiée précise que la CNIL dispose du pouvoir de prononcer des amendes administratives, en fixe les plafonds et opère un renvoi à l’article 83 du RGPD pour connaître les critères à prendre en compte dans la détermination du montant de ces amendes. Ainsi, contrairement à ce que semble soutenir la société, ce n’est pas l’article 83 du RGPD qui est en l’espèce mis en application pour permettre à la formation restreinte de prononcer une amende, mais bien l’article 20 de la loi du 6 janvier 1978, dont l’application est expressément prévue par l’alinéa 6 de l’article L. 34-5 du CPCE et qui, lui, opère un renvoi aux critères de l’article 83 du RGPD pour la détermination du montant de l’amende.
109. Au regard des dispositions précitées, la formation restreinte considère donc qu’elle dispose du pouvoir de prononcer une amende pour un manquement à l’article L. 34-5 du CPCE.
110. En deuxième lieu, la société soutient que le rapport de sanction ne contient aucune motivation au regard des critères légaux justifiant le prononcé d’une amende et son montant. La société ajoute que l’amende proposée est disproportionnée au regard du contexte économique causé par la crise sanitaire de la Covid-19. Elle souligne que sa situation financière est déjà durement impactée par cette crise de sorte que le prononcé d’une amende à son encontre compromettrait sérieusement la pérennité de ses activités. La société produit à ce titre une attestation comptable certifiant que la trésorerie disponible estimée pour le mois de décembre 2020 s’élèverait à […] euros.
111. La formation restreinte considère au contraire que le prononcé d’une amende administrative est justifié au regard des critères posés par l’article 83 paragraphe 2 du RGPD.
112. S’agissant du manquement à l’article L. 34-5 du RGPD, la formation restreinte considère que la société a fait preuve d’une négligence grave en considérant qu’elle pouvait, pour constituer sa base de prospects, s’abstenir de recueillir le consentement des personnes. La gravité de cette violation est avérée en raison notamment du nombre particulièrement important de personnes concernées par le manquement et par le fait que la CNIL a été saisie de plusieurs plaintes, à l’origine de la procédure de contrôle de la CNIL.
113. S’agissant du manquement à l’obligation d’informer les personnes, la formation restreinte rappelle que l’information et la transparence relative au traitement des données à caractère personnel sont des obligations essentielles pesant sur les responsables de traitement afin que les personnes soient pleinement conscientes de l’utilisation qui sera faite de leurs données à caractère personnel, une fois celles-ci collectées.
114. Dès lors, la formation restreinte considère qu’il y a lieu de prononcer une amende administrative au regard des manquements aux articles L. 34-5 du CPCE et 12 et 13 du RGPD.
115. S’agissant du manquement à l’obligation de respecter le droit d’accès des personnes, en application de l’article 15 du RGPD, la formation restreinte relève que, dans le cadre de la procédure, la société a fait valoir qu’elle n’avait pas compris le périmètre des demandes et que les deux plaintes reçues ne démontrent pas un caractère structurel du manquement reproché à la société. S’agissant du manquement à l’obligation d’assurer la sécurité des données, en application de l’article 32 du RGPD, la formation restreinte considère qu’au vu des mesures prises par la société elle a fait preuve de bonne foi dans le cadre de la procédure. En conséquence, la formation restreinte considère, au regard des circonstances de l’espèce, qu’il n’y a pas lieu d’assoir son amende sur le fondement de ces deux manquements, bien qu’ils soient caractérisés.
116. S’agissant du montant de l’amende administrative, la formation restreinte rappelle que le paragraphe 3 de l’article 83 du Règlement prévoit qu’en cas de violations multiples, comme c’est le cas en l’espèce, le montant total de l’amende ne peut excéder le montant fixé pour la violation la plus grave. Dans la mesure où il est reproché à la société un manquement aux articles L. 34-5 du CPCE et 12 et 13 du Règlement, le montant maximum de l’amende pouvant être retenu s’élève à 20 millions d’euros ou 4% du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu.
117. Toutefois, la formation restreinte tient également compte, dans la détermination du montant de l’amende prononcée, de la situation financière de la société. La société a fait état de son chiffre d’affaires estimé pour l’année 2020, pour la période du 1er janvier au 31 juillet, à […]euros, soit en forte baisse par rapport à 2019 où son chiffre d’affaire avait atteint […] euros au 31 décembre. La société fait également état d’une estimation pour la période du 1er janvier au 31 juillet 2020, de son résultat avant intérêts, impôts et amortissements, négatif de […] euros.
118. Dès lors, au regard du contexte économique causé par la crise sanitaire de la Covid-19, de ses conséquences sur la situation financière de la société et des critères pertinents de l’article 83, paragraphe 2, du Règlement évoqués ci-avant, la formation restreinte considère que le prononcé d’une amende de 20 000 euros apparaît à la fois effectif, proportionné et dissuasif, conformément aux exigences de l’article 83, paragraphe 1, de ce Règlement.
119. En troisième lieu, une injonction de mettre en conformité le traitement avec les dispositions des articles L. 34-5 du CPCE, 12, 13, 15 et 32 du RGPD a été proposée par le rapporteur lors de la notification du rapport.
120. S’agissant du manquement relatif à l’obligation de recueillir le consentement de la personne concernée par une opération de prospection directe au moyen d’un système automatisé de communications électroniques en application de l’article L. 34-5 du CPCE, la formation restreinte considère que la société ayant pris les mesures satisfaisantes pour recueillir le consentement des personnes lors de la création d’un compte sur l’application et sur le site web, et s’étant engagée, dans le cadre de la procédure, à ne plus procéder à l’envoi de messages de prospection directe par courriers électroniques à des prospects sans leur consentement préalable, l’injonction proposée dans le rapport n’est plus nécessaire. Cependant, la formation restreinte considère que la société n’a pas démontré avoir procédé à la suppression de la base de données des prospects dont le consentement préalable, libre, spécifique et informé à recevoir des messages de prospection directe par courriers électroniques n’a pas été recueilli par la société. En conséquence, la formation restreinte considère qu’il y a lieu de prononcer une injonction sur ce point.
121. S’agissant du manquement à l’obligation de respecter le droit d’accès des personnes, en application de l’article 15 du RGPD, la société soutient avoir mis en place une procédure interne permettant de faire droit aux demandes formulées au regard de l’article 15 du RGPD et l’avoir amendée afin de répondre aux demandes de droit d’accès de manière satisfaisante. Elle a communiqué sa procédure interne à la formation restreinte, conformément à l’invitation de cette dernière, le 6 novembre 2020.
122. La formation restreinte considère cependant que la société n’a pas pleinement répondu aux demandes de droit d’accès présentées par Monsieur X et Monsieur Y.
123. Ainsi, sans ignorer les démarches de la société pour se mettre en conformité avec le RGPD et la mise en place et l’amendement de sa procédure interne, la formation restreinte considère que la société n’a toujours pas démontré, sa conformité à l’article 15 du Règlement, faute d’avoir satisfait aux demandes de Monsieur X et de Monsieur Y. La formation restreinte considère en conséquence qu’il y a lieu de prononcer une injonction.