AgentPublic/cnil huggingface dataset:
23. En deuxième lieu, s’agissant des deux saisines n° 19012802 et n° 19019490 pour lesquelles la société fait valoir qu’elle n’a pas été mise en mesure d’en prendre connaissance avant la réception du rapport, la formation restreinte rappelle que les textes applicables n’imposent pas une instruction préalable des plaintes avant la transmission d’un rapport proposant une sanction et n’empêchent pas le rapporteur de les porter à la connaissance du responsable de traitement au stade de son rapport, les plaintes étant à cette occasion versées à la procédure contradictoire. Enfin, l’article 50 du règlement intérieur de la CNIL impose uniquement que l’objet de la plainte soit " communiqué au responsable de traitement mis en cause […] afin que celui-ci fournisse toutes les explications utiles ", ce qui a été fait en l’espèce par le biais du rapport de sanction.
24. En troisième lieu, s’agissant de la transmission du rapport au mois d’août et de la nécessité, pour la société, d’y répondre pendant les vacances estivales, la formation restreinte observe que la société a bénéficié d’un délai d’environ six semaines pour produire ses premières observations, pour tenir compte de cette période, étant rappelé que l’article 40 du décret n° 2019-536 du 29 mai 2019 n’impose qu’un délai minimum d’un mois.
25. En dernier lieu, s’agissant du grief relatif à l’absence de mise en demeure préalable, la formation restreinte relève d’abord qu’il ressort des dispositions de l’article 20 de la loi " Informatique et Libertés " modifiée par la loi n° 2018-493 du 20 juin 2018 que l’autorité de contrôle dispose d’un ensemble de mesures correctrices, adaptées selon les caractéristiques propres à chaque cas, qui peuvent être combinées entre elles et être précédées ou non d’une mise en demeure. Les mesures correctrices peuvent être prises directement dans tous les cas.
26. La formation restreinte relève également que le Conseil constitutionnel (Cons. const., 12 juin 2018, n° 2018-765 DC) n’a pas émis de réserve s’agissant de la possibilité pour le président de la CNIL d’engager une procédure de sanction sans mise en demeure préalable. Enfin, la formation restreinte rappelle que le Conseil d’État a jugé (CE, 9 octobre 2020, Société SERGIC, n° 433311) qu’il " résulte clairement [des dispositions de l’article 20 de la loi du 6 janvier 1978 modifiée], que le prononcé d’une sanction par la formation restreinte de la CNIL n’est pas subordonné à l’intervention préalable d’une mise en demeure du responsable du traitement ou de son sous-traitant par le président de la CNIL […] ".
27. En conséquence, la formation restreinte considère que la présente procédure et les différentes actions menées dans ce cadre n’ont pas porté atteinte aux droits de la défense de la société.
C. Sur la qualification des faits au regard du RGPD
1. Sur le manquement à l’obligation de respecter le droit d’accès des personnes aux données à caractère personnel les concernant
28. L’article 12, paragraphe 3, du RGPD prévoit que " Le responsable du traitement fournit à la personne concernée des informations sur les mesures prises à la suite d'une demande formulée en application des articles 15 à 22, dans les meilleurs délais et en tout état de cause dans un délai d'un mois à compter de la réception de la demande. Au besoin, ce délai peut être prolongé de deux mois, compte tenu de la complexité et du nombre de demandes. Le responsable du traitement informe la personne concernée de cette prolongation et des motifs du report dans un délai d'un mois à compter de la réception de la demande ". En outre, aux termes du paragraphe 4 de cet article " si le responsable du traitement ne donne pas suite à la demande formulée par la personne concernée, il informe celle-ci sans tarder et au plus tard dans un délai d'un mois à compter de la réception de la demande des motifs de son inaction et de la possibilité d'introduire une réclamation auprès d'une autorité de contrôle et de former un recours juridictionnel ".
29. L’article 15, paragraphe 1, du RGPD prévoit le droit pour une personne d’obtenir du responsable du traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées et, lorsqu'elles le sont, l'accès aux données à caractère personnel la concernant et notamment " lorsque les données à caractère personnel ne sont pas collectées auprès de la personne concernée, toute information disponible quant à leur source ". Aux termes de l’alinéa 3 du même article " le responsable du traitement fournit une copie des données à caractère personnel faisant l'objet d'un traitement ".
30. Le rapporteur se fonde sur trois saisines reçues par la CNIL, émanant de Messieurs […] (plainte n° 19018344), […] (plainte n° 19008608) et […] (plainte n° 19016049), dans le cadre desquelles les plaignants faisaient état des difficultés rencontrées dans l’exercice de leurs droits, pour proposer à la formation restreinte de considérer que la société a méconnu ses obligations résultant de l’article 15 du RGPD.
31. En défense, la société fait valoir qu’aucun manquement ne peut lui être reproché au titre de ces trois saisines. Elle indique qu’il s’agit de faits isolés, sur la base desquels l’existence d’un problème systémique ne saurait être déduite. Elle fait également valoir la différence entre le nombre réduit de plaintes relevées dans le rapport concernant l’exercice des droits (7) et le nombre de demandes d’exercice des droits traitées par la société par an (environ 600). Elle considère ainsi que les manquements allégués sont révélateurs d’erreurs humaines mais aucunement d’un " problème quant au fonctionnement même de la procédure " de [...]. Enfin, la société indique que les saisines litigieuses sont contemporaines de la date d’entrée en vigueur du RGPD et antérieures à la mise en place d’un nouvel outil de ticketing utilisé par [...], depuis juin 2019, qui a permis d’apporter des améliorations à la procédure de traitement des demandes d’exercice de droit de [...]. Dès lors, elle considère que ces dysfonctionnements ponctuels sont à présent résolus.
32. En premier lieu, s’agissant de la saisine n° 19008608 de mai 2019, Monsieur […] a saisi la CNIL, expliquant avoir demandé à la société [...], via l’adresse électronique dédiée aux demandes " Informatique et Libertés ", l’accès aux données le concernant qui seraient associées à son numéro de téléphone.
33. Le rapporteur observe qu’il ressort des éléments communiqués par la société à la suite des contrôles que, si la société indique bien avoir reçu la demande du plaignant, elle n’a en revanche " pas retrouvé de trace de réponse apportée au plaignant ". Le rapporteur considère donc que la société a manqué à son obligation de traiter la demande d’accès du plaignant.
34. En défense, la société explique tout d’abord qu’elle ne pouvait satisfaire à cette demande puisqu’elle ne disposait plus des données demandées. Elle précise en ce sens que Monsieur […] ayant résilié son contrat avec la société [...] quatre ans avant d’adresser sa demande d’accès, elle ne disposait plus que de l’information relative à l’existence d’une relation contractuelle jusqu’au 4 mars 2015. Suite à l’interrogation du rapporteur s’étonnant de l’absence de données à caractère personnel relatives au plaignant qui seraient conservées par la société en base d’archivage intermédiaire au titre de ses obligations légales ou comptables (données de facturation, gestion d’un éventuel contentieux, etc.), dans son second mémoire en défense, la société indique avoir retrouvé treize factures concernant le plaignant à l’issue d’une recherche dans sa base d’archivage et avoir adressé, par courriel du 14 octobre 2021, un complément de réponse au plaignant en lui fournissant ces éléments.
35. La formation restreinte rappelle d’abord qu’il ressort de l’article 12, paragraphe 4, du RGPD que lorsque le responsable de traitement ne détient plus de données sur la personne qui exerce son droit d’accès (par exemple si les données ont été supprimées), il doit néanmoins répondre au demandeur dans un délai maximal d'un mois pour le lui indiquer. Ainsi, la formation restreinte considère que la société aurait à tout le moins dû informer le plaignant que, selon elle, elle ne disposait plus d’information le concernant, mis à part celle relative à l’existence d’une relation contractuelle jusqu’au 4 mars 2015.
36. La formation restreinte relève ensuite que la société disposait d’autres données relatives au plaignant, en l’occurrence les treize factures conservées par la société dans sa base d’archivage intermédiaire, qui entrent dans le périmètre des données devant être communiquées au titre du droit d’accès. A cet égard, la formation restreinte rappelle que les personnes concernées doivent pouvoir avoir connaissance du fait que des données les concernant sont conservées et traitées par le responsable de traitement, y compris plusieurs années après la rupture de la relation contractuelle, comme c’est le cas en l’espèce. En effet, elle souligne que seule la communication de ces données permet aux personnes concernées de mesurer la nature et l’ampleur des traitements mis en œuvre par la société. En l’espèce, la formation restreinte relève que ce n’est qu’à compter de l’envoi du courriel du 14 octobre 2021 que la société a apporté une réponse exhaustive à la demande d’accès du plaignant, soit plus de deux ans après que Monsieur […] eut exercé ses droits, consécutivement à l’engagement de la procédure de sanction et la réception du rapport en réponse aux observations de la société datées du 4 octobre 2021.
37. Dans ces conditions, la formation restreinte considère qu’en ne donnant pas suite à la demande d’accès et en ne répondant pas au demandeur dans les délais prévus, la société a méconnu ses obligations découlant des articles 12 et 15 du RGPD.
38. Elle relève néanmoins que, dans le cadre de la procédure de sanction, la société a justifié avoir apporté une réponse au plaignant et, dès lors, avoir pris des mesures de mise en conformité avec les obligations du RGPD.
39. En deuxième lieu, s’agissant de la saisine n° 19016049 de septembre 2019, Monsieur […] a saisi la CNIL, expliquant avoir demandé à la société [...] de lui indiquer si elle détenait des données à caractère personnel le concernant. Dans l’affirmative, le plaignant souhaitait obtenir une copie de ses données et, plus particulièrement, la copie de l’enregistrement d’un appel qui aurait été passé par une personne ayant usurpé son identité ainsi que tout document qui aurait été envoyé à cette occasion.
40. Le rapporteur relève qu’il ressort des constats effectués dans le cadre de la procédure de contrôle que la société n’a pas apporté de réponse au plaignant, sans qu’elle ait été en mesure d’en justifier la raison. Il a également constaté que cette demande n’a pas été qualifiée comme une demande " Informatique et Libertés " mais comme une demande de " résiliation ". Le rapporteur considère donc que la société a manqué à son obligation d’indiquer au plaignant si des données à caractère personnel le concernant figuraient dans les traitements qu’elle met en œuvre et, le cas échéant, à son obligation de lui en adresser une copie.
41. En défense, la société fait valoir que cette demande n’a pas été adressée au service dédié aux demandes d’exercice des droits, de sorte qu’une erreur humaine a pu être commise dans sa qualification en tant que demande de résiliation et non en tant que demande de droit d’accès. Ensuite, la société explique qu’elle ne pouvait pas apporter une réponse favorable au plaignant dans la mesure où sa demande d’accès était relative aux données à caractère personnel d’un tiers. S’agissant des autres données détenues par la société, relatives au plaignant, elle indique y avoir répondu par courriel du 26 août 2021 en joignant une copie des données à caractère personnel le concernant qui sont enregistrées en base de données.
42. Sur le premier point portant sur l’adresse à laquelle le plaignant a envoyé sa demande, la formation restreinte considère que s’il n’est pas contesté que le plaignant n’a pas adressé sa demande à l’adresse courriel ou postale qui est identifiée par la société comme étant le canal dédié pour la transmission des demandes d’exercice des droits, il n’en demeure pas moins qu’il appartenait à la société, dès lors que cette demande a bien été reçue par cette dernière et qu’elle était claire en ses termes, de la traiter dans les délais prévus par le RGPD et de veiller à cet effet à ce qu’elle soit transmise aux services compétents. En effet, si la mise en œuvre de mesures organisationnelles pour faciliter l’exercice des droits des personnes est conforme aux exigences et à l’objectif poursuivi par le RGPD, cela ne saurait en revanche exonérer la société de son obligation de répondre aux demandes qui lui sont faites dès lors qu’elles ne lui seraient pas adressées par le canal qu’elle aura dédié à cet effet, a fortiori lorsque, comme c’est le cas en l’espèce, le contenu de la demande est clair.
43. Sur le second point en lien avec l’argument de la société selon lequel la demande d’accès portait sur des données d’un tiers, la formation restreinte relève que la demande du plaignant est, à titre principal, une demande générale de droit d’accès qui vise, à titre subsidiaire, la communication de données relatives à un appel téléphonique. Dès lors, si la formation restreinte peut entendre les éléments mis en avant par la société sur la nécessité de préserver les droits des tiers en lien avec la partie de la demande relative à l’appel téléphonique, elle considère en revanche que la société aurait en tout état de cause dû apporter une réponse à la demande générale de droit d’accès effectuée par le plaignant, ce qui n’a pas été le cas avant le 26 août 2021, soit plus de deux ans après sa demande et après la notification à la société le 2 août 2021 du rapport proposant à la formation restreinte de prononcer une sanction.
44. Dans ces conditions, la formation restreinte considère qu’en ne donnant pas suite à la demande d’accès et en ne répondant pas au demandeur dans les délais prévus, la société a méconnu ses obligations découlant des articles 12 et 15 du RGPD.
45. Elle relève néanmoins que, dans le cadre de la procédure de sanction, la société a justifié avoir apporté une réponse au plaignant et dès lors, avoir pris des mesures de mise en conformité avec les obligations du RGPD.
46. En troisième lieu, s’agissant de la saisine n° 19018344 datée du mois d’octobre 2019, Monsieur […] a saisi la CNIL, expliquant avoir demandé à la société [...] l’accès aux données le concernant.
47. Le rapporteur relève que la société n’a pas apporté de réponse au plaignant.
48. En défense, la société explique qu’elle n’a jamais reçu la demande du plaignant et qu’elle ne pouvait donc pas y répondre.
49. Dans la mesure où il n’est pas établi que le plaignant ait régulièrement exercé ses droits, la formation restreinte estime qu’il n’y a pas lieu de retenir de manquement au regard de l’obligation de respecter le droit d’accès s’agissant de cette plainte.
50. En dernier lieu, s’agissant tout d’abord de l’argument selon lequel les faits reprochés à la société auraient un caractère isolé et ne constitueraient dès lors pas un manquement aux dispositions applicables, la formation restreinte considère que, si les plaintes reçues par la CNIL ne révèlent en effet pas l’existence d’un manquement structurel en matière de droit d’accès, il n’en demeure pas moins que la société a méconnu ses obligations dans le traitement des demandes de Messieurs […] et […], alors que celles-ci étaient clairement formulées. Ces faits constituent bien un manquement aux obligations découlant des articles 12 et 15 du RGPD.
51. S’agissant ensuite de l’argument selon lequel les manquements qui sont reprochés à la société sont contemporains de la date d’entrée en application du RGPD, la formation restreinte rappelle que la plupart des obligations en cause, relatives aux droits d’accès, de rectification d’opposition et à la sécurité, existaient avant l’entrée en application du RGPD et que la loi " Informatique et Libertés " permettait déjà de les sanctionner. La formation restreinte considère, dès lors, que la société ne saurait utilement exciper d’un changement du cadre juridique pour justifier l’absence de conformité au jour des contrôles.
52. S’agissant enfin des améliorations apportées par la société à sa procédure de gestion des droits, tout en soulignant le caractère opportun de leur adoption pour améliorer le traitement des demandes, la formation restreinte rappelle qu’elles sont sans incidence sur l’existence du manquement au jour des contrôles, qui a duré de nombreux mois, et auquel il n’a été mis fin qu’après l’engagement de la procédure de sanction.
53. Au vu de ce qui précède, la formation restreinte considère qu’un manquement aux obligations des articles 12 et 15 du RGPD est constitué pour les plaintes déposées par Messieurs […] et […], peu important qu’il n’ait pas revêtu un caractère structurel.
54. Elle relève néanmoins que, dans le cadre de la procédure de sanction, la société a justifié avoir pris des mesures de mise en conformité avec les obligations du RGPD en apportant une réponse aux plaignants.
2. Sur le manquement relatif au droit de rectification en application de l’article 16 du RGPD
55. L’article 16 du RGPD prévoit le droit pour une personne d’obtenir du responsable du traitement " la rectification des données à caractère personnel la concernant qui sont inexactes ".
56. Le rapporteur se fonde sur une saisine reçue par la CNIL, émanant de Madame […] (plainte n° 19017852 intervenue en octobre 2019) et dans le cadre de laquelle la plaignante faisait état de difficultés rencontrées dans l’exercice de son droit de rectification, pour proposer à la formation restreinte de considérer que la société a méconnu ses obligations résultant de l’article 16 du RGPD. Elle indiquait avoir demandé à la société la rectification de son adresse postale figurant sur les factures téléphoniques, rendue nécessaire à la suite d’une renumérotation de la voirie par la mairie.
57. Le rapporteur observe qu’il ressort des constats effectués lors du contrôle du 22 janvier 2020 que la demande de la plaignante, formée en septembre 2019, n’a pas été prise en compte dès lors que l’adresse postale objet de la demande de rectification qui figure sur la facture datée du 14 octobre 2019 de la plaignante est la même que celle qui figure sur la facture datée du 14 janvier 2020. Le rapporteur a donc considéré qu’entre le 14 octobre 2019 et le 14 janvier 2020, la demande de rectification de la plaignante n’a pas été prise en compte par la société [...], soit plusieurs semaines après avoir adressé sa demande.
58. En défense, la société fait valoir qu’un traitement plus rapide de la demande de Madame […] était impossible au regard des impératifs de lutte contre la fraude. Elle précise en effet que lorsqu’une personne est à la fois cliente des sociétés [...] (car détentrice d’une ligne fixe) et [...] (car détentrice d’une ligne mobile), comme c’est le cas de la plaignante, il faut d’abord que l’adresse postale relative à la ligne fixe soit modifiée auprès de la société [...]. Elle précise que cette modification ne peut avoir lieu qu’une fois que l’adresse physique d’installation de la ligne téléphonique a été modifiée au sein d’un outil nommé " SETIAR ", qui est administré par la société ORANGE S.A. La société précise que cet outil " permet d’assurer la correspondance parfaite entre un numéro de téléphone et l’adresse d’installation physique de la ligne téléphonique, afin d’éviter toute erreur au moment de réaliser une opération sur cette ligne ". La société indique que ces différentes démarches ne peuvent pas être réalisées dans de brefs délais et qu’elle a agi de manière diligente pour traiter cette demande. La société considère en tout état de cause avoir répondu à la demande de Madame […] en lui adressant un courrier, le 17 septembre 2019, soit quatre jours après avoir reçu sa demande, lui indiquant qu’elle pouvait modifier son adresse en ligne, directement depuis son espace abonné.
59. La formation restreinte relève que la nécessité pour Madame […] de modifier elle-même son adresse dans son espace abonné aurait dû lui être mieux expliquée. Lors de la séance, la société a toutefois bien expliqué la nécessité, dans le cadre de la lutte contre la fraude, de passer par l’outil " SETIAR ".
60. Dans ces conditions, la formation restreinte prend acte des éléments apportés par la société en défense et considère que, s’agissant de cette plainte, les éléments du débat ne permettent pas de conclure à l’existence d’un manquement commis par la société.
3. Sur le manquement relatif à l’obligation de respecter la demande d’opposition des personnes concernées
61. L’article 12, paragraphe 3, du RGPD prévoit que " Le responsable du traitement fournit à la personne concernée des informations sur les mesures prises à la suite d'une demande formulée en application des articles 15 à 22, dans les meilleurs délais et en tout état de cause dans un délai d'un mois à compter de la réception de la demande. Au besoin, ce délai peut être prolongé de deux mois, compte tenu de la complexité et du nombre de demandes. Le responsable du traitement informe la personne concernée de cette prolongation et des motifs du report dans un délai d'un mois à compter de la réception de la demande. Lorsque la personne concernée présente sa demande sous une forme électronique, les informations sont fournies par voie électronique lorsque cela est possible, à moins que la personne concernée ne demande qu'il en soit autrement ". Enfin, aux termes du paragraphe 4 de cet article " si le responsable du traitement ne donne pas suite à la demande formulée par la personne concernée, il informe celle-ci sans tarder et au plus tard dans un délai d'un mois à compter de la réception de la demande des motifs de son inaction et de la possibilité d'introduire une réclamation auprès d'une autorité de contrôle et de former un recours juridictionnel ".
62. L’article 21 du RGPD dispose que " lorsque les données à caractère personnel sont traitées à des fins de prospection, la personne concernée a le droit de s'opposer à tout moment au traitement des données à caractère personnel la concernant à de telles fins de prospection, y compris au profilage dans la mesure où il est lié à une telle prospection ".
63. Le rapporteur se fonde sur quatre saisines reçues par la CNIL, émanant de Madame […] (plainte n° 19008223) ainsi que de Messieurs […] (plainte n° 19016318) et […] (plaintes n° 17017795 et n° 19018125) et dans le cadre desquelles les plaignants faisaient état de leurs difficultés dans l’exercice de leurs droits, pour proposer à la formation restreinte de considérer que la société a méconnu ses obligations résultant de l’article 21 du RGPD.
64. En défense, la société fait valoir qu’aucun manquement ne peut lui être reproché au titre de ces quatre saisines, car elle a pris en compte les demandes des plaignants dans ses bases de données. Elle fait ensuite valoir, en synthèse et comme développé au point 31, que les manquements allégués, eu égard au faible nombre de plaintes visées dans le rapport, sont tout au plus révélateurs d’erreurs humaines et non d’un problème quant au fonctionnement de la procédure de traitement des demandes d’exercice des droits par la société, qui constituerait un manquement aux dispositions applicables. Elle considère que les saisines litigieuses sont contemporaines de la date d’entrée en application du RGPD et antérieures à la mise en place du nouvel outil de ticketing en juin 2019 qui a permis d’améliorer le traitement des demandes d’exercice des droits.
65. En premier lieu, s’agissant de la saisine n° 19008223 intervenue en avril 2019, Madame […] a saisi la CNIL, expliquant qu’au cours des années 2018 et 2019, elle avait fait l’objet de démarchages téléphoniques par la société [...]. Au cours de cette période, la plaignante a manifesté à deux reprises, par courriers datés du 27 septembre 2018 et du 29 avril 2019, son opposition au traitement de ses données à caractère personnel à des fins de prospection.