AgentPublic/cnil huggingface dataset:
77. Dans son rapport de sanction, la rapporteure indique que le contrat de prestation de services, signé le 12 septembre 2018, entre la société […] et son sous-traitant contient plusieurs clauses prévues par l’article 28 du RGPD, notamment s’agissant de la finalité du traitement, du type des données personnelles traitées et des obligations et droits du responsable du traitement. Cependant, elle relève que certaines clauses sont manquantes.
78. La société ne produit pas d’éléments en défense sur ce point.
79. La formation restreinte relève à cet égard que le contrat conclu entre la société et son sous-traitant ne contient pas de clauses prévoyant que le sous-traitant :
• veille à ce que les personnes autorisées à traiter les données à caractère personnel s'engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité ;
• met à la disposition du responsable du traitement toutes les informations nécessaires pour démontrer le respect des obligations prévues au présent article et pour permettre la réalisation d'audits, y compris des inspections, par le responsable du traitement ou un autre auditeur qu'il a mandaté, et contribuer à ces audits .
80. La formation restreinte considère en conséquence qu’un manquement à l’article 28 du RGPD est constitué.
III. Sur les mesures correctrices et la publicité
81. Aux termes du III de l’article 20 de la loi du 6 janvier 1978 modifiée :
7° À l'exception des cas où le traitement est mis en œuvre par l'État, une amende administrative ne pouvant excéder 10 millions d'euros ou, s'agissant d'une entreprise, 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l'article 83 du règlement (UE) 2016/679 du 27 avril 2016, ces plafonds sont portés, respectivement, à 20 millions d'euros et 4 % dudit chiffre d'affaires. La formation restreinte prend en compte, dans la détermination du montant de l'amende, les critères précisés au même article 83 .
82. L’article 83 du RGPD prévoit en outre que chaque autorité de contrôle veille à ce que les amendes administratives imposées […] soient, dans chaque cas, effectives, proportionnées et dissuasives , avant de préciser les éléments devant être pris en compte pour décider s'il y a lieu d'imposer une amende administrative et pour décider du montant de cette amende.
83. Sur le prononcé d’une amende et son montant, la formation restreinte estime que, dans le cas d’espèce, les manquements précités justifient que soit prononcée une amende administrative à l’encontre de la société.
84. Concernant l’amende proposée par la rapporteure, la société soutient que le montant de l’amende proposée est excessif, compte tenu de ces capacités financières.
85. La formation restreinte analyse les critères dressés par l’article 83 de la manière suivante.
86. Tout d’abord, la formation restreinte relève que les manquements constatés sont graves au vu de l’atteinte aux droits et libertés fondamentaux des personnes concernées.
87. La société a manqué à plusieurs principes fondamentaux prévus par le RGPD et le CPCE visant à garantir une protection effective des données à caractère personnel. En effet, la formation restreinte considère que la réalisation de campagnes de prospection massives par courrier électronique, sans consentement des personnes, l’absence d’information claire et complète sur le traitement effectué et l’absence de mise en place d’un mécanisme d’opposition efficace constituent une atteinte substantielle au droit au respect de la vie privée et à la protection des données à caractère personnel des personnes, comme le démontre d’ailleurs le nombre de signalements reçus par l’association SIGNAL SPAM, qui place la société en tête du classement des sociétés émettant le plus de spam .
88. La formation restreinte souligne également que le non-respect de la réglementation par la société porte précisément sur l’envoi de prospection commerciale par voie électronique, qui est au cœur de l’activité de la société.
89. Par ailleurs, la formation restreinte considère que la gravité des manquements est constituée au regard du nombre particulièrement important de personnes concernées, la base d’adresses électroniques détenue par la société comptant près de 20 millions d’adresses.
90. Enfin, la formation restreinte observe qu’au jour de la séance la société n’a pris aucune mesure pour se mettre en conformité aux dispositions du RGPD et du CPCE.
91. L’ensemble de ces manquements et leur gravité justifie qu’une amende soit prononcée.
92. S’agissant du montant de l’amende administrative, la formation restreinte note qu’en 2018 le chiffre d’affaires de la société s’est élevé à 107 089 € avec un résultat net comptable de 7 676 €. En 2019, le chiffre d’affaires de la société s’est élevé à 182 672 € avec un résultat net comptable de 483 €.
93. Dès lors, au regard des critères pertinents de l’article 83, paragraphe 2, du RGPD évoqués ci-avant, la formation restreinte considère que le prononcé d’une amende de 7 300 euros apparaît effectif, proportionné et dissuasif, conformément aux exigences de l’article 83, paragraphe 1, du RGPD, au regard de la taille de l’entreprise et de sa situation financière.
94. Sur le prononcé d’une injonction, la formation restreinte relève que, s’agissant de l’ensemble des manquements, la société n’a apporté aucun élément depuis le début de la procédure qui permettrait de considérer qu’elle s’est mise en conformité avec les dispositions du RGPD.
95. Lors de la séance de la formation restreinte, la société a indiqué avoir besoin d’un mois et demi pour se mettre en conformité.
96. Dès lors, faute pour la société de s’être conformée à l’article L. 34-5 du CPCE et aux articles 5, paragraphe 1, c), 5, paragraphe 1, e), 14, 21 et 28 du RGPD, la formation restreinte considère qu’il y a lieu de prononcer une injonction, assortie d’une astreinte de mille euros (1 000 euros) par jour de retard à l’issue d’un délai de deux mois suivant la notification de la délibération de la formation restreinte.
97. Sur la publicité de la décision, la formation restreinte considère, premièrement, que la gravité de certains manquements justifie, par elle-même, la publicité de la présente décision.
98. La formation restreinte rappelle, deuxièmement, que les manquements ont concerné un très grand nombre de personnes, la base détenue par la société comportant 20 millions d’adresses électroniques de prospects. Elle considère que la publicité de sa décision permet d’informer les personnes de l’existence des manquements commis par la société.
99. Il résulte de tout ce qui précède et de la prise en compte des critères fixés à l’article 83 du règlement qu’une amende administrative à hauteur de 7 300 euros, accompagné d’une injonction de mettre en conformité le traitement, ainsi qu’une sanction complémentaire de publication pour une durée de deux ans sont justifiées et proportionnées.
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide de :
- Prononcer à l’encontre de la société X une amende administrative d’un montant de sept mille trois cents euros (7 300 euros), au regard des manquements constitués à l’article L. 34-5 du code des postes et des communications électroniques et aux articles 5, paragraphe 1, c), 5, paragraphe 1, e), 14, 21 et 28 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;
- prononcer à l’encontre de la société X une injonction de mettre en conformité le traitement avec les dispositions des articles L. 34-5 du code des postes et des communications électroniques et des articles 5, paragraphe 1, c), 5, paragraphe 1, e), 14, 21 et 28 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, assortie d’une astreinte de mille euros (1 000 euros) par jour de retard à l’issue d’un délai de deux mois suivant la notification de la délibération de la formation restreinte et en particulier :
• s’agissant du manquement à l’obligation de recueillir le consentement des personnes concernées aux fins de prospection commerciale par voie électronique :
o recueillir le consentement des personnes concernées, préalablement à l’envoi de toute prospection commerciale par courrier électronique et justifier de la suppression des données à caractère personnel des personnes n’ayant pas consenti ;
• s’agissant du manquement à l’obligation de minimisation des données à caractère personnel :
o procéder à la suppression du numéro de téléphone des prospects dont les coordonnées sont enregistrées dans la base et en justifier ;
• s’agissant du manquement à l’obligation de limitation de la durée de conservation des données à caractère personnel :
o cesser de prendre en compte comme dernier point de contact émanant des prospects la simple ouverture d’un courriel ;
• s’agissant du manquement à l’obligation d’informer les personnes concernées du traitement de leurs données personnelles :
o informer les personnes concernées de manière claire et complète, conformément aux dispositions de l’article 14 du RGPD, notamment en fournissant une information relative à l'identité du responsable de traitement, à sa base juridique, aux catégories de données personnelles concernées, à la durée de conservation des données, à l’ensemble des droits des personnes (en particulier le droit à la portabilité et le droit à la limitation du traitement), au droit d'introduire une réclamation auprès d'une autorité de contrôle et à la source d’où proviennent les données ;
• s’agissant du manquement à l’obligation de respecter le droit d’opposition des personnes concernées :
o mettre en œuvre une procédure permettant d’assurer l’effectivité du droit d’opposition exprimé par les personnes prospectées, notamment en s’assurant que le lien de désinscription figurant en bas des messages électroniques de prospection permette de se désinscrire de manière définitive de l’ensemble des listes de diffusion de la société ;
• s’agissant du manquement à l’obligation d’encadrer par un acte juridique formalisé les traitements effectués pour le compte du responsable de traitement :
o compléter le contrat de prestation de service, signé entre la société et son sous-traitant, qui régit les traitements de données à caractère personnel réalisés par cette dernière, afin qu’il comporte l’ensemble des mentions visées à l’article 28-3) du RGPD ;
• justifier auprès de la CNIL que l’ensemble des demandes précitées ont été respectées, et ce dans le délai imparti, en adressant les justificatifs de la mise en conformité à la formation restreinte dans ce délai ;
- rendre publique, sur le site de la CNIL et sur le site de Légifrance, sa délibération, qui n’identifiera plus nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.
 Le président
 Alexandre LINDEN
Cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’État dans un délai de deux mois à compter de sa notification.
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de Monsieur Philippe-Pierre CABOURDIN, vice-président, Mme Dominique CASTERA, Mme Anne DEBET et Mme Christine MAUGÜE, membres ;
Vu la Convention no 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée, notamment ses articles 20 et suivants ;
Vu l’ordonnance no 2020-306 du 25 mars 2020 relative à la prorogation des délais échus pendant la période d'urgence sanitaire ;
Vu le décret no 2019-536 du 29 mai 2019 pris pour l'application de la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu les saisines nos [ …], […], […], […] et […] ;
Vu la décision n° 2019-082C du 24 avril 2019 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements mis en œuvre par cet organisme ou pour le compte de la société […] ;
Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte, en date du 19 décembre 2019 ;
Vu le rapport de Monsieur François PELLEGRINI, commissaire rapporteur, notifié à la société […] le 28 février 2020 ;
Vu les observations écrites versées par la société […] le 21 août 2020 ;
Vu la réponse du rapporteur à ces observations notifiée le 18 septembre 2020 au conseil de la société ;
Vu les nouvelles observations écrites versées par le conseil de la société […], reçues le 16 octobre 2020, ainsi que les observations orales formulées lors de la séance de la formation restreinte ;
Vu la procédure interne de gestion des demandes d'exercice des droits versée par le conseil de la société […] le 6 novembre 2020 ;
Vu les autres pièces du dossier ;
Étaient présents, lors de la séance de la formation restreinte du 5 novembre 2020 :
- Monsieur François PELLEGRINI, commissaire, entendu en son rapport ;
En qualité de représentants de la société […] :
- […] ;
- […] ;
- […] ;
- […] ;
- […].
La société […] ayant eu la parole en dernier ;
La formation restreinte a adopté la décision suivante :
I. Faits et procédure
1. La société […] (ci-après " la société ") est […] créée en […], qui a pour activité la préparation et la livraison de repas à destination d’employés de bureaux, commandés à partir du site web de la société " […].com " et d’une application mobile. Son siège social est situé […].
2. En 2018, la société […] a réalisé un chiffre d’affaires d’environ […] euros et un résultat net négatif d’environ […] euros. En 2019 la société a réalisé un chiffre d’affaires d’environ […] euros et un résultat net négatif d’environ […] euros. La société […] emploie environ 74 personnes. Le 14 mai 2019, la société recensait 169 768 comptes clients créés via son site et son application mobile.
3. En novembre 2018 et janvier 2019, la Commission nationale de l’informatique et des libertés (ci-après " la CNIL " ou " la Commission ") a été saisie de quatre plaintes par des personnes non clientes de la société, indiquant avoir reçu des courriels de prospection de la part de cette dernière sans qu’elles aient fourni leur consentement préalable (saisines n° […], […], […] et […]). Ces courriels contenaient des informations relatives à des offres commerciales et aux menus proposés par la société. Certains plaignants informaient la CNIL que la société leur avait indiqué avoir reconstitué leur adresse électronique, afin de les contacter, sur la base du format de l’adresse électronique de leur entreprise à partir des données diffusées sur le réseau social professionnel de la société [...].
4. Par ailleurs, une plaignante indiquait qu’elle rencontrait des difficultés à s’opposer au traitement de ses données caractère personnel par la société à des fins de prospection par courrier électronique (saisine n°[…]). Plusieurs plaignant indiquaient également que malgré leur désinscription de la newsletter reçue par courriel, ils continuaient à recevoir des messages de prospection par ce biais.
5. Enfin, deux plaignants indiquaient avoir demandé, en vain, à la société, une copie des données à caractère personnel les concernant traitées par celle-ci, ainsi que plusieurs informations relatives à la finalité du traitement, aux destinataires des données, aux durées de conservation des données ou encore à la source de leurs données (saisines n° […] et […]).
6. Le 3 mai 2019, en application de la décision no 2019-082C de la présidente de la CNIL, une délégation de la CNIL a procédé à une mission de contrôle en ligne, sur le site web et l’application mobile mis en œuvre par la société. Cette mission a eu pour objet de vérifier le respect par cette société de l’ensemble des dispositions du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (ci-après " le Règlement " ou " le RGPD ") et de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après " la loi du 6 janvier 1978 modifiée " ou la loi " Informatique et Libertés ").
7. Au cours de cette mission de contrôle, la délégation a suivi le parcours d’inscription d’une personne sur le site web ainsi que sur l’application mobile de la société et a créé un compte au nom de la CNIL. Elle a ainsi effectué des vérifications en lien avec les données renseignées par les personnes lors de leur inscription, les informations relatives à la protection des données à caractère personnel fournies aux personnes concernées ainsi que les mesures de sécurité mises en place par la société s’agissant des mots de passe associés aux comptes.
8. Le 14 mai 2019, une délégation de la CNIL a procédé à une mission de contrôle dans les locaux de la société, en application de la décision n° 2019-082C précitée. Lors de ce contrôle, la société a indiqué à la délégation qu’elle procédait à la refonte de son site web afin de se conformer au RGPD, s’agissant notamment de l’information des personnes et des moyens d’opposition à la réception de la lettre d’information. La société a également expliqué à la délégation la manière dont elle constitue sa base de données de prospects. Des vérifications ont enfin été effectuées en ce qui concerne les suites apportées aux plaintes dont la CNIL a été saisie, s’agissant des droits d’accès et d’opposition des personnes.
9. En réponse à une demande du 21 juin 2019, la société a fourni à la délégation de contrôle de la CNIL, par courriel du 3 juillet suivant, des informations relatives à la source des données à caractère personnel contenues dans sa base de prospects. Enfin, par courriel du 11 septembre 2019, la société a fourni à la CNIL des éléments relatifs à la base légale du traitement mis en œuvre à des fins de prospection commerciale, au droit d’opposition ainsi qu’aux durées de conservation des données des prospects et clients.
10. Aux fins d’instruction de ces éléments, la présidente de la Commission a désigné Monsieur François PELLEGRINI en qualité de rapporteur, le 19 décembre 2019, sur le fondement de l’article 22 de la loi du 6 janvier 1978 modifiée dans sa version applicable au jour de la désignation.
11. Le 20 février 2020, aux fins d’actualiser les constatations déjà effectuées, une délégation de la CNIL a procédé à une nouvelle mission de contrôle en ligne du site " […].com " et de l’application mobile de la société. La délégation a de nouveau créé un compte au nom de la Commission, sur le site web et l’application mobile, et a effectué des vérifications relatives à la transparence des informations fournies aux personnes ainsi qu’à la robustesse des mots de passe associés aux comptes.
12. À l’issue de son instruction, le rapporteur a fait notifier à la société […], le 28 février 2020, un rapport détaillant les manquements au RGPD qu’il estimait constitués en l’espèce.
13. Ce rapport proposait à la formation restreinte de la Commission de prononcer une injonction de mettre en conformité le traitement avec les dispositions des articles L. 34-5 du Code des postes et des communications électroniques (ci-après le " CPCE ") et 12, 13, 15 et 32 du Règlement, assortie d’une astreinte de cinq cents euros par jour de retard à l’issue d’un délai de trois mois suivant la notification de la délibération de la formation restreinte, ainsi qu’une amende administrative. Il proposait également que cette décision soit rendue publique et ne permette plus d’identifier nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.
14. Était également jointe au rapport une convocation à la séance de la formation restreinte du 7 mai 2020 indiquant à la société qu’elle disposait d’un délai d’un mois pour communiquer ses observations écrites en application des dispositions de l’article 40 du décret n° 2019-536 du 29 mai 2019.
15. Le 11 mars 2020, par l’intermédiaire de son conseil, la société […] sollicitait par courrier motivé, un délai pour produire ses observations. Par courriel du 18 mars 2020, le président de la formation restreinte a informé la société […] qu’elle pouvait produire ses observations en défense jusqu’au 20 avril 2020.
16. Le 8 avril 2020, en vertu de l’ordonnance n° 2020-306 du 25 mars 2020 relative à la prorogation des délais échus pendant la période d'urgence sanitaire et à l'adaptation des procédures pendant cette même période, prise en application de la loi n° 2020-290 du 23 mars 2020 d'urgence pour faire face à l'épidémie de Covid-19, le président de la formation restreinte a informé la société qu’elle disposait d’un délai supplémentaire pour produire ses observations au rapport du rapporteur, jusqu’au 24 août 2020.
17. Le 21 août 2020, par l’intermédiaire de son conseil, la société a produit des observations. Le rapporteur y a répondu le 18 septembre suivant.
18. Le 10 septembre 2020, les services de la Commission ont adressé à la société une convocation à la séance de la formation restreinte du 5 novembre 2020.
19. Par courrier électronique du 25 août 2020, sur le fondement de l’article 40, alinéa 4, du décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi " Informatique et Libertés " (ci-après " le décret du 19 mai 2019 "), le rapporteur a demandé au président de la formation restreinte un délai supplémentaire de quinze jours pour répondre aux observations de la société, qui lui a été accordé le 27 août 2020. La société en a été informée le même jour.
20. Le 16 octobre, la société a produit de nouvelles observations en réponse à celles du rapporteur.
21. La société et le rapporteur ont présenté des observations orales lors de la séance de la formation restreinte du 5 novembre 2020.
II. Motifs de la décision
A. Sur la régularité de la procédure
1. Sur le grief tiré de l’absence de pouvoirs de la formation restreinte
22. La société considère que la formation restreinte ne dispose du pouvoir de prononcer les mesures visées à l’article 20 III de la loi " Informatique et Libertés " qu’en présence de manquements persistants.
23. En premier lieu, elle soutient que cette analyse découle de l’interprétation des termes de la loi, l’article 20 III de la loi " Informatique et Libertés " prévoyant la possibilité pour la formation restreinte d’avoir recours aux mesures prévues à l’article précité " lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi ".
24. Le rapporteur soutient que l’interprétation de l’article 20 III de la loi " Informatique et Libertés " présentée par la société ne saurait être suivie. Le législateur a entendu permettre à la formation restreinte de la CNIL de prononcer une sanction, notamment pécuniaire, y compris en cas de manquement dûment constaté mais pour lequel une mise en demeure serait sans objet, le manquement ayant cessé et n’appelant plus de correction.
25. La formation restreinte considère que les mesures prises par un responsable de traitement pour faire cesser un manquement constaté, si elles justifient qu’aucune mise en demeure ou aucune injonction ne lui soient adressées pour l’avenir, ne la privent pas de la possibilité de prononcer une mesure correctrice, et notamment une amende administrative, dans la mesure où la mise en conformité du responsable de traitement n’a pas pour effet de faire disparaître l’existence de manquements passés.