AgentPublic/cnil huggingface dataset:
41. De plus, les " Conditions générales de vente ", accessibles depuis le pied de page de chacune des pages du site web, prévoient en leur article 10 que " les données collectées sont réservées à l’usage de la Direction Marketing Client, Direction Stratégie Digitale & Innovation de la société X et de la société Z, agissant en qualité de sous-traitant. À ce titre, les données collectées sont susceptibles d’être transférées vers les Etats-Unis. […] Les informations nominatives collectées sont nécessaires au traitement de la commande, à son acheminement, à l’établissement de la facture, et à la mise en correspondance des données clients avec celles de la société Z ". L’article 11 prévoit quant à lui que " conformément à la règlementation en vigueur, l’adhérent est informé que l’ensemble des informations données par lui dans le questionnaire figurant sur la Demande d’adhésion sont nécessaires au traitement et à la délivrance de la Carte X, ainsi qu’au processus de mise en correspondance des données clients avec celles de la société Z ".
42. La formation restreinte relève tout d’abord que le formulaire décrit aux paragraphes 39 et 40 ne contient pas d’information sur la transmission des données au groupe Y à des fins de publicité ciblée. Les informations contenues sur ce formulaire portent sur l’adhésion au programme de fidélité et la réception de messages de prospection commerciale par SMS et/ou courrier électronique.
43. Ainsi, sur la base des seules mentions figurant sur le formulaire, il ne saurait être considéré que l’information fournie aux adhérents est suffisante pour assurer le caractère éclairé de leur consentement à la transmission de leurs données au réseau social Z à des fins de publicité ciblée. Si ces mentions font bien référence à des traitements de prospection électronique (par SMS et/ou courrier électronique), qui visent à promouvoir des produits commercialisés par la société X tout comme la publicité ciblée effectuée sur le réseau social Z, les messages publicitaires sont adressés selon des canaux distincts et dans des environnements différents. En effet, la transmission des données au groupe Y à des fins de publicité ciblée sur le réseau social Z, c’est-à-dire une publicité par encarts affichés sur le site web, est d’une nature différente de la publicité par courriel ou SMS, qui n’implique pas nécessairement la transmission des données à un tiers. Or, cette finalité de publicité ciblée sur le réseau social Z – pour les besoins de laquelle les données sont transmises au groupe Y – n’est pas clairement mentionnée sur le formulaire. Dans ces conditions, la formation restreinte estime qu’il ne peut être considéré que, en prenant connaissance du contenu de ce formulaire, les personnes ont fourni un consentement spécifique et éclairé au traitement de leurs données à caractère personnel pour cette finalité.
44. Ensuite, en ce qui concerne les documents figurant sur le site web " [...] ", à savoir les " Conditions Générales du programme de fidélité ", la " politique des données personnelles " et les " Conditions générales de vente ", la formation restreinte relève, d’une part, que les personnes doivent prendre l’initiative de les consulter en cliquant sur plusieurs liens si elles souhaitent accéder aux informations qu’ils contiennent et, d’autre part, qu’ils comportent des informations partielles, qui ne sont pas suffisamment explicites pour permettre aux personnes concernées d’avoir une vision claire du traitement en cause et, partant, de donner un consentement éclairé et spécifique.
45. S’agissant tout d’abord des " Conditions Générales du programme de fidélité X ", qui ont pour objet d’expliquer aux membres les conséquences de leur adhésion, elles ne mentionnent pas la transmission des données au groupe Y lorsqu’ils acceptent d’être contactés par X par SMS ou courrier électronique. Quant à l’information fournie dans la " politique des données personnelles " et les " Conditions générales de vente ", selon laquelle les données des personnes sont " mise[s] en correspondance " avec " celles de la société Z ", elle n’apparait pas non plus suffisante pour recueillir un consentement éclairé des personnes concernées dans la mesure où cette simple mention ne permet pas de comprendre clairement la finalité de cette transmission, à laquelle il n’est d’ailleurs pas demandé aux personnes de consentir par un acte positif. 
46. La formation restreinte observe en outre que ces informations figurent dans deux documents distincts, eux-mêmes accessibles via plusieurs liens présents au bas du formulaire de création de compte ainsi que depuis le pied de page de chacune des pages du site web, les personnes étant tenues de cliquer sur plusieurs liens situés à distance des cases à cocher et du bouton poussoir permettant le recueil du consentement en matière de prospection commerciale par SMS et/ou courrier électronique (ces cases et ce bouton portant par ailleurs, comme rappelé au paragraphe 43, sur des finalités distinctes).
47. Au vu de l’ensemble de ce qui précède, ce parcours ne permet pas vraiment aux personnes concernées de fournir un consentement explicite et éclairé par un acte positif pour le traitement en cause, comme aurait pu le permettre, par exemple, la présence d’une case à cocher sur le formulaire d’adhésion au programme de fidélité mentionnant clairement la finalité de ce traitement et offrant la possibilité aux personnes d’accepter ou non sa mise en œuvre.
48. En deuxième lieu, s’agissant du consentement fourni par les utilisateurs de Z lors de la création d’un compte sur le réseau social, la formation restreinte relève tout d’abord que les personnes dont les données sont transmises ne détiennent pas toutes un compte sur le réseau social Z. En effet, la formation restreinte relève que la société ne conteste pas qu’elle transmettait au groupe Y les données de l’intégralité des adhérents au programme de fidélité ayant accepté la réception de messages de prospection par courrier électronique et/ou SMS, sans savoir à ce stade s’ils étaient ou non inscrits sur Z, l’objectif étant d’identifier les membres du programme de fidélité déjà utilisateurs du réseau social. A cet égard, la formation restreinte relève en outre que, d’après les informations communiquées par la société, le taux de correspondance entre les données transmises par X et celles détenues par le groupe Y s’élève seulement à 15 %.
49. La formation restreinte relève qu’en tout état de cause, le consentement donné par les utilisateurs du réseau social Z ne saurait pallier le consentement qui aurait dû être recueilli par la société X. D’une part, la formation restreinte rappelle que la société, en sa qualité de responsable de traitement, devait s’assurer, avant la mise en œuvre du traitement, et donc avant la transmission des données au groupe Y, que les personnes concernées avaient donné leur consentement, ce qui n’était pas le cas en l’espèce. D’autre part, il ressort des documents fournis par la société, dans ses observations du 23 juin 2025, que lors de leur inscription sur Z, les personnes concernées acceptent les conditions d’utilisation du réseau social et l’affichage, par le groupe Y, de publicités ciblées, à partir des données transmises par ses partenaires. Ce consentement concerne ainsi exclusivement les opérations réalisées sur le réseau social Z, et non les traitements réalisés en amont par la société X. 
50. Dans ces conditions, le traitement réalisé par la société X ne saurait reposer sur le consentement recueilli par le groupe Y.
51. En troisième lieu, s’agissant du chiffrement des données au moyen de la fonction de hachage SHA256 et d’" un pixel Javascript ", dont se prévaut la société, la formation restreinte relève, d’une part, que seules les adresses électroniques transmises au groupe Y étaient hachées, alors que les numéros de téléphones étaient transmis en clair. La formation restreinte relève, d’autre part, que le hachage des données permet certes de les transmettre de manière sécurisée, ce qui est une bonne pratique, mais elle considère que cela n’a pas d’incidence sur le fait que les données sont transmises dans le cadre du traitement susvisé, objet du manquement en cause. 
52. En quatrième lieu, la formation restreinte considère que la circonstance que le groupe Y supprimait certaines données à la suite de la réception et de la comparaison de celles-ci n’emporte aucune conséquence non plus sur les traitements réalisés par la société X, les données étant bien transmises par X.
53. S’agissant enfin du nombre de personnes concernées par les traitements en cause, la formation restreinte relève que, si 1,6 million de personnes ont vu s’afficher une publicité personnalisée pour les produits X sur Z entre le mois de juin 2022 et le mois de février 2024, l’ensemble des données des adhérents du programme de fidélité ayant accepté la réception de messages de prospection par SMS et/ou courriel, à savoir 10,5 millions de personnes, ont été effectivement transmises au groupe Y, si bien que ces personnes doivent bien être considérées comme étant concernées par les traitements mis en œuvre.
54. Au regard de l’ensemble de ce qui précède, la formation restreinte considère qu’un manquement à l’article 6 paragraphe 1, a) est constitué, dans la mesure où le consentement, sur lequel elle entendait fonder son traitement de ciblage publicitaire réalisé par le biais de campagnes sur le réseau social Z et pour les besoins duquel elle transmettait des données au groupe Y, n’était pas valablement recueilli.
55. Si la formation restreinte prend acte du fait que la société a cessé toute transmission de données au groupe Y en février 2024 et qu’une injonction apparait dès lors sans objet sur ce point, il n’en demeure pas moins que le manquement demeure caractérisé pour le passé.
D. Sur le manquement à l’information des personnes en application de l’article 13 du RGPD
56. L’article 13 du RGPD dresse la liste des informations devant être fournies à la personne concernée lorsque les données à caractère personnel sont collectées directement auprès d’elle. Ces informations portent notamment sur l’identité du responsable de traitement et ses coordonnées, les finalités du traitement mis en œuvre, sa base juridique, les destinataires ou les catégories de destinataires des données, le fait que le responsable du traitement a l’intention d’effectuer un transfert de données vers un pays tiers. Cet article impose également au responsable de traitement, lorsque cela apparaît nécessaire pour garantir " un traitement équitable et transparent " des données personnelles en l’espèce, d’informer les personnes sur la durée de conservation des données, l’existence des différents droits dont elles bénéficient, l’existence du droit de retirer leur consentement à tout moment et le droit d’introduire une réclamation auprès d’une autorité de contrôle.
57. La rapporteure considère qu’au moment des opérations de contrôle, les informations figurant dans la " politique des données personnelles " de la société, accessible depuis le formulaire de création de compte (et donc au moment de l’inscription au programme de fidélité), ainsi que depuis le pied de page de chacune des pages du site, étaient incomplètes dès lors que les bases légales des traitements n’étaient pas données par finalité, que les durées de conservation dans le cadre du programme de fidélité n’étaient pas indiquées et que les informations sur les transferts de données n’étaient pas à jour au motif qu’elles renvoyaient au bouclier de protection des données " Privacy Shield ", qui ne garantit plus, depuis la décision de la CJUE du 16 juillet 2020 (CJUE, grande chambre, 16 juillet 2020, Data Protection Commissioner contre Facebook Ireland Ltd et Maximillian Schrems, affaire C-311/18 - arrêt dit " Schrems II "), une garantie juridique suffisante pour permettre le transfert des données personnelles de l’Union européenne vers les Etats-Unis.
58. La rapporteure relève également que l’ensemble des documents d’information de la société, à savoir les " conditions générales du programme de fidélité ", la " politique des données personnelles " et les " conditions générales de vente ", ne faisait apparaître à aucun moment la finalité de publicité ciblée sur le réseau social Z ni la base légale correspondante, et ne contenait pas non plus d’information relative à l’existence d’une responsabilité conjointe entre le groupe Y et la société X, dont se prévaut la société, s’agissant des campagnes lancées sur le réseau social Z.
59. En défense, si la société reconnaît que sa " politique de données personnelles " de 2023 aurait pu être plus claire, elle soutient qu’elle contenait bien la liste des traitements mis en œuvre, notamment la mise en correspondance des données des adhérents avec la société Z, et que chaque traitement mentionnait sa finalité et était rattaché à sa base légale. Elle précise qu’en tout état de cause, la mention d’information relative à cette mise en correspondance a été retirée dès lors que la transmission des données vers le groupe Y a cessé en 2024. Elle fournit, pour le démontrer, sa nouvelle " politique des données personnelles " de septembre 2025, permettant, selon elle, de clarifier les différents traitements mis en œuvre et d’expliciter, pour chaque finalité de traitement, la base légale correspondante. Elle explique également avoir mis à jour, le 20 juin 2025, les informations relatives aux transferts internationaux de données, en supprimant les références au bouclier de protection des données " Privacy Shield ". Enfin, elle indique avoir modifié, en septembre 2025, les " conditions générales du programme de fidélité " afin d’indiquer que les données des adhérents au programme de fidélité sont conservées deux ans.
60. Premièrement, la formation restreinte relève qu’il ressort des constats réalisés lors du contrôle en ligne du 5 janvier 2023 que la " politique des données personnelles " accessible depuis le site web " […] " contenait à cette date un article 3 intitulé " Pourquoi X collecte et utilise vos données ", au sein duquel la société informait d’abord les utilisateurs qu’elle " peut être amenée à traiter [leurs] données personnelles sur plusieurs fondements ", avant de lister plusieurs bases légales prévues par le RGPD, telles que l’exécution d’un contrat ou de mesures précontractuelles, le consentement, l’intérêt légitime ou encore une obligation légale. Au paragraphe suivant, la société indiquait " les raisons " pour lesquelles elle traitait les données et fournissait une liste de finalités poursuivies par les traitements mis en œuvre, par exemple, la gestion et l’administration du site, le traitement des demandes d’exercice des droits, l’adhésion au programme de fidélité et la gestion de celui-ci, ou encore l’analyse des données de connexion et de navigation à des fins de publicité ciblée sur les services offerts par le site. La formation restreinte considère qu’une telle présentation des bases légales et des finalités, sans correspondance entre ces deux éléments, était imprécise. Celle-ci ne permettait pas aux utilisateurs d’appréhender pleinement les traitements mis en œuvre ni de comprendre que certains traitements étaient fondés sur leur consentement et qu’ils pouvaient
par conséquent le retirer s’ils le souhaitaient.
61. La formation restreinte observe que la " politique des données personnelles " transmise par la société à l’occasion de ses secondes observations en défense, en septembre 2025, comprend désormais, en son article 4, un tableau présentant les différentes finalités des traitements, associées aux bases légales correspondantes et aux traitements concernés. Une telle présentation permet aux utilisateurs d’être désormais clairement informés, pour chaque traitement, de sa finalité et de sa base légale.
62. Deuxièmement, s’agissant de l’information relative à la publicité ciblée sur le réseau social Z, la formation restreinte relève que l’article 3 de la " politique des données personnelles " de la société, dans sa version en vigueur au moment des contrôles, précisait que les données collectées par la société étaient traitées " pour l’adhésion au programme de fidélité, et la gestion du programme de fidélité, notamment la mise en correspondance des données des adhérents avec celles de la société Z ". Il était également précisé à l’article 10 des " conditions générales de vente sur internet ", accessibles depuis le pied de page de chacune des pages du site web, que les données collectées auprès de l’internaute étaient réservées " à l’usage de la Direction Marketing Client, Direction Stratégie Digitale & Innovation de la société X et de la société Z, agissant en qualité de sous-traitant " et que " les informations nominatives [étaient] nécessaires […]à la mise en correspondance des données clients avec celles de la société Z ". L’article 11, quant à lui, prévoyait que " conformément à la règlementation en vigueur, l’adhérent est informé que l’ensemble des informations données par lui dans le questionnaire figurant sur la Demande d’adhésion [étaient] nécessaires au traitement et à la délivrance de la Carte X, ainsi qu’au processus de mise en correspondance des données clients avec celles de la société Z ".
63. La formation restreinte relève que si ces mentions font état de la mise en correspondance des données des adhérents au programme de fidélité avec celles " de la société Z ", ni les " conditions générales de vente ", ni la " politique des données personnelles ", ni aucun autre document d’information élaboré par la société X ne mentionne la finalité de cette mise en correspondance, à savoir la réalisation de publicité ciblée sur le réseau social Z. La base légale d’un tel traitement n’est pas davantage mentionnée.
64. La formation restreinte prend acte que, dès lors que la société a cessé toute transmission de données au groupe Y depuis le mois de février 2024, de telles mentions d’information apparaissent aujourd’hui sans objet. 
65. Troisièmement, la formation restreinte relève que l’information fournie par la société à ses clients au moment du contrôle en ligne du 5 janvier 2023, selon laquelle le transfert des données à des partenaires situés en dehors de l’Espace économique européen reposait sur le bouclier de protection des données (ou " Privacy Shield ") constituait une information erronée dans la mesure où, comme le relève la rapporteure, ce texte ne garantit plus, depuis la décision de la CJUE de juillet 2020 citée précédemment, une garantie juridique suffisante pour permettre le transfert des données personnelles de l’Union européenne vers les Etats-Unis.
66. La formation restreinte prend acte de la modification réalisée par la société, le 20 juin 2025, la politique des données personnelles indiquant désormais que de tels transferts sont régis par le " Data Privacy Framework " (cadre de protection des données Union européenne-Etats-Unis, considéré par la Commission européenne, dans une décision du 10 juillet 2023, comme offrant un niveau de protection substantiellement équivalent à celui de l’Union européenne).
67. Quatrièmement, la formation restreinte observe que la " politique des données personnelles ", accessible depuis le site web " [...] ", ne comportait, à la date du contrôle en ligne du 5 janvier 2023, aucune information relative aux durées de conservation des données des adhérents dans le cadre du programme de fidélité. 
68. Elle relève que la nouvelle " politique des données personnelles ", datée de septembre 2025, précise que les données " relatives au compte client ainsi qu’à l’utilisation du n° de fidélité sont conservées pendant deux (2) ans à compter de la dernière connexion au compte ou utilisation du n° de fidélité ". La formation restreinte considère qu’une telle précision permet désormais aux personnes d’être pleinement informées de la durée de conservation de leurs données collectées dans le cadre de l’adhésion au programme de fidélité et prend acte de la mise en conformité de la société sur ce point.
69. Au vu de ce qui précède, la formation restreinte considère qu’au moment du contrôle en ligne du 5 janvier 2023, les documents d’information présentés sur le site web " […] " et destinés notamment à informer les personnes sur les traitements de leurs données à caractère personnel, ne permettaient pas de fournir une information complète, claire et précise, ce qui constitue un manquement aux dispositions de l’article 13 du RGPD.
70. La formation restreinte observe que la société s’est mise en conformité au cours de l’instruction et que, dès lors, le prononcé d’une injonction, tel que proposé par la rapporteure, apparait sans objet. Néanmoins, les mesures adoptées ne remettent pas en cause l’existence du manquement pour les faits passés.
E. Sur le manquement à l’obligation d’assurer la sécurité des données en application de l’article 32 du RGPD
71. En droit, l’article 32 du RGPD impose au responsable de traitement, " compte tenu de l'état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, [de mettre] en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque ".
72. Il résulte de ces dispositions que le responsable de traitement est tenu de s’assurer que le traitement automatisé de données qu’il met en œuvre est suffisamment sécurisé. Le caractère suffisant des mesures de sécurité s’apprécie, d’une part, au regard des caractéristiques du traitement et des risques qu’il induit, d’autre part, en tenant compte de l’état de connaissances et du coût des mesures. 
1) Sur la robustesse des mots de passe des comptes utilisateurs
73. En matière de mots de passe, des règles de complexité trop permissives, qui autorisent l’utilisation de mots de passe insuffisamment robustes, peuvent conduire à des attaques par des tiers non autorisés, telles que des attaques par " force brute " ou " par dictionnaire ", qui consistent à tester successivement et de façon systématique de nombreux mots de passe et conduisent ainsi à une compromission des comptes associés et des données à caractère personnel qu’ils contiennent.
74. La nécessité d’un mot de passe fort est ainsi recommandée tant par l’Agence nationale de la sécurité des systèmes d’information (ANSSI), notamment dans son guide " recommandations relatives à l’authentification multifacteur et aux autres mots de passe " du 8 octobre 2021, que par la Commission.
75. En effet, dans sa délibération n° 2022-100 du 21 juillet 2022 portant adoption d’une recommandation relative aux mots de passe et autres secrets partagés – qui n’a certes pas un caractère impératif mais qui fournit un éclairage pertinent sur les mesures qu’il convient de prendre en matière de sécurité – la CNIL rappelle que, pour assurer un niveau de sécurité et de confidentialité suffisant, il convient d’adopter une politique de mots de passe présentant un niveau d’entropie suffisamment fort. La Commission précise à cet égard qu’" on appelle "entropie" la quantité de hasard contenue dans un système. Pour un mot de passe ou une clé cryptographique, cela correspond à son degré d’imprédictibilité, et donc à sa capacité de résistance à une attaque par force brute. "
76. Ainsi, dans l’hypothèse où l’authentification repose uniquement sur un identifiant et un mot de passe, la Commission recommande que la complexité fixée dans la politique de mots de passe permette d’assurer l’équivalent d’une entropie d’au moins 80 bits, ce qui correspond, par exemple, à un minimum de 12 caractères comprenant des majuscules, des minuscules, des chiffres et des caractères spéciaux à choisir dans une liste d’au moins 37 caractères spéciaux possibles, ou à un minimum de 14 caractères comprenant des majuscules, des minuscules et des chiffres sans caractère spécial obligatoire, ou encore à une phrase de passe composée de minimum 7 mots de la langue française.