AgentPublic/cnil huggingface dataset:
Le 23 octobre 2019, par l’intermédiaire de son conseil, la société a produit des observations. Le rapporteur y a répondu le 7 novembre suivant.
Le 22 novembre, la société a produit de nouvelles observations en réponse à celles du rapporteur.
La société et le rapporteur ont présenté des observations orales lors de la séance de la formation restreinte du 28 novembre 2019.
Le projet de décision adopté par la formation restreinte a été transmis aux autorités de contrôle européennes concernées, le 16 février 2020, conformément à l’article 60.4 du Règlement général sur la protection des données (RGPD). La formation restreinte s’est prononcée, dans son projet de décision, sur les manquements proposés par le rapporteur et débattus par les parties dans le cadre du respect du principe du contradictoire, à savoir les manquements aux articles 5-1-c), 5-1 e), 13, 32 et 35-1 du RGPD ; aucun manquement à l’article 6 du RGPD et à la directive 2002/58/CE du Parlement et du Conseil dite directive ePrivacy n’ayant été soulevé par le rapporteur.
Les 13 et 17 mars suivants, les autorités de contrôle italienne, portugaise et de Basse-Saxe ont formulé des objections pertinentes et motivées à l’égard du projet de décision. La formation restreinte a décidé de modifier son projet de décision afin de tenir compte de ces objections. Celles-ci ne proposant pas de s’écarter du projet de décision par la prise en compte d’une circonstance de fait nouvelle, d’ajouter un manquement ou d’aggraver la nature de la mesure correctrice initialement proposée, la formation restreinte a décidé de ne pas les communiquer au rapporteur ni à la société X.
Le projet de décision révisé a été soumis aux autorités de contrôle concernées le 25 juin 2020.
II.Motifs de la décision
A.Sur le manquement au principe de minimisation des données (obligation de veiller à l’adéquation, à la pertinence et au caractère non excessif des données)
1.L’enregistrement des appels téléphoniques
L’article 5-1 c) du Règlement dispose que les données à caractère personnel doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (minimisation des données) .
En premier lieu, le rapporteur soutient que l’enregistrement intégral et permanent des appels téléphoniques reçus par les salariés du service client apparaît excessif au regard de la finalité d’évaluation de ceux-ci par la société.
La société soutient que les enregistrements téléphoniques ne sont ni permanents ni systématiques dans la mesure où les clients ont la possibilité de s’opposer à l’enregistrement de l’appel. Elle considère également que l’enregistrement intégral des conversations téléphoniques est proportionné aux objectifs d’évaluation et de formation des salariés poursuivis par la société. Enfin, elle soutient que c’est à tort que le rapporteur affirme que l’enregistrement des appels téléphoniques serait excessif au motif que la personne chargée d’effectuer la formation n’écoute généralement qu’un enregistrement par semaine, par salarié, alors que cette moyenne serait, selon la société, susceptible d’évoluer en fonction des besoins de l’entreprise. Elle précise que le nombre d’enregistrements que le formateur doit être à même d’écouter doit être plus important que le nombre d’enregistrements qu’il écoute effectivement.
La formation restreinte relève, tout d’abord, que si certains clients s’opposent à l’enregistrement de l’appel téléphonique passé, la société met en en œuvre un traitement permettant d’enregistrer toutes les conversations téléphoniques de ses salariés, sans que ceux-ci aient la possibilité de s’y opposer. Ensuite, elle considère que la société ne justifie pas de la nécessité d’enregistrer l’intégralité des conversations téléphoniques passées par le service client, au regard de la finalité du traitement, à savoir la formation des salariés. La formation restreinte relève que la société indiquait, lors de l’audition du 19 juin 2019, que la personne chargée de cette formation n’écoute généralement qu’un enregistrement par semaine et par salarié. Par ailleurs, si la société a affirmé, lors de la séance du 28 novembre 2019, que le taux d’enregistrement des conversations téléphoniques est passé de 100% à 30%, elle ne produit sur ce point aucune pièce justificative.
Si le nombre d’enregistrements peut varier en fonction de chaque salarié et des circonstances, en particulier des besoins de formation de celui-ci, la formation restreinte considère que la société ne démontre pas avoir mis en place, pour le passé et l’avenir, un enregistrement des conversations téléphoniques des salariés limité à ce qui est nécessaire au regard de la finalité poursuivie. Or, un responsable de traitement ne peut mettre en place un traitement de données à caractère personnel sans s’assurer que celui-ci est nécessaire à ses besoins, a fortiori lorsqu’il repose sur un dispositif particulièrement intrusif pour les salariés.
La formation restreinte considère donc, au vu de ces éléments, qu’un manquement à l’article 5-1-c) du RGPD est constitué.
En second lieu, le rapporteur reproche à la société de ne pas avoir mis en place de mesure permettant d’éviter l’enregistrement des coordonnées bancaires des clients lors des appels téléphoniques passés avec la société. Il considère également que la mesure proposée par la société, à la suite de l’audition, consistant à supprimer chaque jour les appels en lien avec les commandes passées par téléphone avec un paiement par carte bancaire, reste insatisfaisante en ce que le traitement des données bancaires pendant une journée n’est pas justifié au regard de la finalité du traitement, qui est l’évaluation des salariés. Il rappelle que le traitement des coordonnées bancaires vise à effectuer le paiement et que de telles données n’ont pas à être enregistrées par la société, même pendant une seule journée, une fois le paiement validé.
La société soutient que l’effacement des données bancaires enregistrées lors des conversations téléphoniques, tous les jours, mis en place à la suite de l’audition du 19 juin 2019, permet d’assurer une conservation des données conforme au principe de minimisation. Elle précise que la mise en place d’une mesure permettant d’interrompre un enregistrement lors de la communication des coordonnées bancaires d’un client demanderait le développement d’outils techniques complexes et ferait peser un coût financier et humain particulièrement lourd.
La formation restreinte observe que la société a, au moins jusqu’au 19 juin 2019, enregistré à l’occasion de l’enregistrement des conversations des salariés à des fins de formation, les coordonnées bancaires des clients qui passaient des commandes par téléphone et conservé de telles données dans sa base, en clair, pendant quinze jours.
Elle relève que les coordonnées bancaires sont des données qui compte tenu de leur nature et des risques de fraude associés doivent faire l’objet d’une protection renforcée de la part des responsables de traitement. En effet, ainsi que l’a relevé le rapporteur, leur utilisation par des tiers non autorisés, dans le cadre de paiement frauduleux, est susceptible d’entraîner un préjudice pour les personnes concernées.
La formation restreinte constate que la société enregistrait et conservait des données dont elle n’avait aucun usage au regard de la finalité poursuivie par le traitement en cause, à savoir la formation des salariés.
Elle considère donc, au vu de ces éléments, qu’un manquement à l’article 5-1-c) du RGPD est constitué.
Les données collectées dans le cadre de la lutte contre la fraude
En premier lieu, le rapporteur soutient que la société méconnaît le principe de minimisation des données dès lors qu’elle conserve, dans le cadre de la lutte contre la fraude, des justificatifs envoyés par les clients tels que la copie de la carte nationale d’identité, qui ne sont pas requis.
La société soutient que la conservation d’un document transmis spontanément par une personne n’est pas excessive. Elle considère qu’elle peut conserver les copies de la carte nationale d’identité des personnes transmises spontanément dans la mesure où la CNIL indique dans son guide pratique les achats en ligne qu’un responsable de traitement peut demander un justificatif d’identité et/ou de domicile pour s’assurer de l’identité du détenteur.
La formation restreinte note que la société a informé la CNIL, lors de l’audition du 19 juin 2019, qu’elle demandait aux clients situés en France, à des fins de lutte contre la fraude, la fourniture de la copie d’un justificatif de domicile ainsi qu’un scan de leur carte bancaire. Elle a cependant indiqué à la Commission que même si elle ne demande pas la fourniture de la copie de la carte d’identité, il arrive que les personnes lui communiquent un tel document et que dans une telle hypothèse, elle conserve ce document pendant six mois, au même titre que les autres pièces justificatives qui lui sont adressées.
La formation restreinte relève que la copie de la carte d’identité peut constituer un justificatif pertinent dans le cadre de la lutte contre la fraude. Par conséquent, au vu de la finalité du traitement mis en œuvre par la société et du caractère résiduel du nombre de copies de cartes d’identité traitées par la société, elle considère qu’il n’y a pas lieu de retenir, en l’espèce, le manquement reproché.
En second lieu, le rapporteur soulevait dans son rapport que la société collectait, en Italie, dans le cadre de la lutte contre la fraude la copie de la carte de santé ( tessera sanitaria ) et de la carte d’identité en cours de validité. Il reprochait à la société de ne pas avoir été en mesure d’indiquer lors de l’audition en quoi la collecte de ce document est nécessaire dans le cadre de la lutte contre la fraude. Par la suite, le rapporteur a pris acte des informations fournies par la société en vertu desquelles elle indiquait que ses déclarations faites lors de l’audition du 19 juin 2019 étaient fausses et qu’elle ne demandait en réalité aux clients que la communication de leur carte d’identité à l’exclusion de tout autre justificatif. Celle-ci a également indiqué qu’à la suite d’une erreur de communication, le service commercial de la société a demandé, entre le 27 juin et le 18 juillet 2019, aux clients la transmission de la copie de cette carte de santé, mais que cette pratique a cessé et que les documents ainsi collectés ont été supprimés. Le rapporteur a donc considéré qu’il n’y avait plus lieu de tenir compte de ce fait à l’appui du manquement précité.
La formation restreinte relève que la carte de santé italienne contient un nombre important d’informations sur son détenteur, à savoir son nom, prénom, genre, code fiscal, lieu de naissance correspondant pour les citoyens nés en Italie à la commune de naissance et pour les étrangers au pays de naissance. Il peut également être déduit de la date d’expiration de la carte que la personne dispose d’une autorisation de séjour en Italie.
Elle considère que la communication de deux documents permettant de justifier de l’identité de la personne à des fins de lutte contre la fraude, à savoir la carte de santé et la pièce d’identité, était excessive et non pertinente au titre de l’article 5-1 c) du RGPD. Il apparaît en effet que seule la collecte de la carte d’identité était pertinente au regard de la finalité du traitement mis en œuvre. En l’espèce, la collecte de la carte de santé contenant davantage d’informations que la carte d’identité, non pertinentes dans le cadre de la lutte contre la fraude, était excessive. À cet égard, la formation restreinte relève que la société reconnaît qu’une telle collecte n’était pas nécessaire, celle-ci ayant cessé en juillet 2019. La formation restreinte considère que quand bien même la société n’aurait collecté un tel document que pendant une période limitée de trois semaines, de tels éléments sont constitutifs d’un manquement à l’obligation pour le responsable de traitement de ne traiter que des données adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées, en vertu du principe de minimisation des données.
La formation restreinte considère donc qu’un manquement à l’article 5-1 c) du RGPD est constitué pour ces faits.
B. Sur le manquement à l’obligation de limitation de la durée de conservation des données
L’article 5-1 e) du Règlement dispose que les données à caractère personnel doivent être conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées ; les données à caractère personnel peuvent être conservées pour des durées plus longues dans la mesure où elles seront traitées exclusivement à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques conformément à l'article 89, paragraphe 1, pour autant que soient mises en œuvre les mesures techniques et organisationnelles appropriées requises par le présent règlement afin de garantir les droits et libertés de la personne concernée (limitation de la conservation) .
En premier lieu, le rapporteur a relevé que lors du contrôle du 31 mai 2018 la société a informé la CNIL qu’aucune durée de conservation des données des clients et prospects n’avait été déterminée et qu’elle ne procédait à aucun effacement régulier ni aucun archivage de telles données à l’issue d’une période définie. Lors de l’audition du 19 juin 2019, la société a informé le rapporteur avoir fixé une durée de conservation de ces données de cinq ans, en base active, à compter de la date de dernière activité des clients et prospects, pouvant correspondre par exemple, à une connexion au compte client, à un clic dans une newsletter ou encore à l’ouverture de celle-ci.
Pour la détermination du nombre de clients et de prospects à prendre en considération, il convient d’inclure ceux situés au Royaume-Uni dès lors que cet Etat étant membre de l’Union européenne à l’époque des faits en cause, le RGPD est applicable. Au surplus, dans le cadre de l’accord de retrait entre l’Union européenne et le Royaume-Uni, une période transitoire a été convenue durant laquelle le droit de l’Union continue de s’appliquer au Royaume-Uni.
Les relevés effectués par la société, sur demande de la délégation de contrôle, permettaient d’établir que la société conservait les données de 118 768 clients ne s’étant pas connectés à leur compte depuis le 25 mai 2008, celles de 682 164 clients ne s’étant pas connectés à leur compte depuis le 25 mai 2010 et les données de 3 620 401 clients ne s’étant pas connectés à leur compte depuis le 25 mai 2013.
La formation restreinte en déduit qu’au moins jusqu’au comptage réalisé le 7 juin 2018 en base de données, la société conservait un nombre particulièrement important de données concernant ses clients qui ne s’étaient pas connectés à leur compte depuis plus de dix ans.
En outre, le fait, allégué par la société, que seule la responsable juridique ait accès aux données des clients conservées est en tout état de cause dépourvu de portée, la durée de conservation étant indépendante de l’accès.
S’agissant des prospects, le rapporteur considère que la société ne justifie pas de la nécessité d’appliquer une durée de conservation de leurs données pendant cinq ans à compter du dernier contact émanant de ceux-ci.
La société soutient, quant à elle, que la durée de conservation de cinq ans de telles données est adéquate compte tenu de la spécificité de sa plateforme d’e-commerciale généraliste. Il serait, en outre, établi que certains prospects se connectent pour regarder les offres proposées après une période d’inactivité de quatre ans.
La formation restreinte note que la société conservait en juin 2018, s’agissant des différents pays de l’Union européenne dans lesquels la société exerce son activité et du Royaume-Uni, les données de plus de 25 millions de prospects n’ayant eu aucune activité depuis le 25 mai 2015, soit depuis plus de trois ans. De plus, à titre d’exemple significatif, étaient conservées les données de 4 801 596 prospects n’ayant aucune activité depuis plus de trois ans, concernant l’Espagne, celles de 5 616 503 prospects concernant l’Italie et celles de plus de 12 millions de prospects concernant la France. La formation restreinte relève qu’après avoir indiqué aux services de la CNIL que les données étaient conservées sans limitation de durée, la société a indiqué, lors de l’audition, qu’elle conserve désormais ces données pendant cinq ans à compter du dernier contact, alors même qu’elle soutient ne plus les relancer après une période d’inactivité de deux ans. La formation restreinte considère que la société n’a pas établi en quoi la conservation des données des prospects, qui sont des personnes n’ayant jamais réalisé de commande sur le site de la société ou d’anciens clients dont les données sont utilisées à des fins de prospection après la fin de la relation commerciale, est nécessaire au-delà du délai de deux ans au cours duquel elle effectue ses opérations de prospection. La société a en effet indiqué qu’elle n’envoie des messages promouvant ses produits ou contenant des offres
commerciales à ses prospects que pendant une période de deux ans.
Sur ce point, la formation restreinte estime qu’en l’espèce, la durée de deux ans apparaît proportionnée au vu de la finalité du traitement. Cette durée répond au souhait de la société de promouvoir, comme tout commerçant, ses produits auprès de ses anciens clients et des personnes ne s’étant pas opposées à la réception de tels messages. La société précise en outre qu’un mécanisme permet aux personnes de se désabonner à tout moment pour ne plus recevoir de messages de prospection. En revanche, la durée de conservation mise en place par la société s’agissant des données des prospects, à savoir cinq ans, excède celle nécessaire au regard des finalités pour lesquelles elles sont traitées.
La formation restreinte considère donc que la société a méconnu les dispositions de l’article 5-1 e) du RGPD.
En deuxième lieu, le rapporteur reproche à la société de déterminer comme point de départ du délai de conservation des données des prospects notamment l’ouverture d’un courriel de prospection.
La formation restreinte note que les données des prospects permettent à un responsable de traitement d’adresser des messages, par exemple par courrier électronique, à des personnes qui montrent un intérêt pour ses produits ou services. La Commission considère à cet égard que lorsque le point de départ du délai de conservation des données est le dernier contact émanant du prospect, il doit s’agir d’un évènement permettant de démontrer l’intérêt de la personne pour le message reçu, tel qu’un clic sur un lien hypertexte contenu dans un courriel. Cependant, la seule ouverture d’un courriel ne peut être considérée comme un contact émanant du prospect, dans la mesure où celui-ci peut être ouvert involontairement du fait des modalités de fonctionnement du logiciel de messagerie utilisé ou par erreur.
La formation restreinte considère donc que la société ne peut, sans méconnaître le principe de limitation de la durée de conservation des données, considérer que la simple ouverture d’un courriel de prospection par une personne permet de refaire courir le point de départ du délai de conservation des données des prospects et ainsi conserver de telles données alors même que les prospects n’ont pas démontré, par un acte clair, un intérêt pour les produits ou services de la société pendant plusieurs années.
En troisième lieu, le rapporteur soutient qu’à l’issue de l’expiration de la durée de conservation des données des clients, la société ne supprime pas l’intégralité des données conservées, mais conserve l’adresse électronique des clients ainsi que leurs mots de passe, sous une forme pseudonymisée, ce qui ne permettrait pas de respecter le principe de limitation de conservation des données.
La société soutient que l’anonymisation des adresses électroniques des anciens clients est effectuée à partir d’un procédé fondé sur une technologie SHA-256 et que le décryptage des données hachées avec cette fonction requiert des compétences techniques très pointues. Elle considère donc que les données des clients inactifs sont indécryptables et donc anonymes .
La formation relève qu’à l’issue de la période d’inactivité d’un client, la société supprime certaines données, à savoir les nom, prénom et date de naissance de celui-ci, mais en conserve d’autres tels que son adresse électronique et son mot de passe qui sont hachés par un algorithme et transférés au sein d’une autre table. La société souhaite ainsi permettre à un client de se reconnecter à son compte avec le même identifiant et le même mot de passe que ceux utilisées lors de la création de son compte, à l’issue de la durée de conservation des données mise en place.
La formation restreinte considère que les données de ses anciens clients, même hachées, ne sont pas anonymisées, mais pseudonymisées, et permettraient de réidentifier les personnes.
La société soutient que les adresses électroniques et les mots de passe de ses anciens clients sont hachés au moyen d’un algorithme SHA-256 qui est particulièrement robuste et qui rendrait les données anonymes.
La formation restreinte relève que l’algorithme SHA-256 est une fonction de hachage permettant d’assurer l’intégrité des données personnelles traitées par la société. S’il s’agit, à ce jour, d’une fonction qui ne peut être inversée et est donc considérée par l’Agence nationale de sécurité des systèmes d’information (ANSSI) et la CNIL comme garantissant un niveau de sécurité suffisant des données, celle-ci ne permet pas d’anonymiser des données et donc de justifier leur conservation de manière indéfinie par un responsable de traitement.
Par conséquent, la formation restreinte considère que la société conserve les données en cause pendant une durée excédant celle nécessaire au regard des finalités pour lesquelles elles sont traitées. Elle relève à cet égard, que la société indique elle-même que l’objectif de la mise en place d’une telle mesure est de permettre à ses clients de se reconnecter à leur compte, alors même que les données sont censées avoir été supprimées. Les données personnelles des anciens clients doivent être définitivement supprimées à l’issue de l’expiration du délai de conservation de celles-ci en base active ou en base archive, une fois les obligations légales expirées et ne peuvent être conservées pour une hypothétique utilisation future.
La formation restreinte considère donc que la société a, là encore, méconnu les dispositions de l’article 5-1 e) du RGPD.
C.Sur le manquement à l’obligation d’information des personnes
L’article 13 du RGPD exige du responsable de traitement qu’il fournisse, au moment où les données sont collectées, les informations relatives à son identité et ses coordonnées, celles du délégué à la protection des données, les finalités du traitement et sa base juridique, les destinataires des données à caractère personnel, le cas échéant les transferts de données à caractère personnel, la durée de conservation des données à caractère personnel, les droits dont bénéficient les personnes ainsi que le droit d’introduire une réclamation auprès d’une autorité de contrôle.