AgentPublic/cnil huggingface dataset:
(1) Voir délibération n° 2019-057 du 9 mai 2019 portant adoption d'un référentiel relatif aux traitements de données à caractère personnel mis en œuvre à des fins de gestion des vigilances sanitaires.
(2) Guidelines 05/2021 on the Interplay between the application of Article 3 and the provisions on international transfers as per Chapter V of the GDPR.
(3) Recommandations 01/2020 sur les mesures qui complètent les instruments de transfert destinés à garantir le respect du niveau de protection des données à caractère personnel de l'UE.
(4) Le recours aux dérogations visées à l'article 49 doivent être limitées à des situations particulières. A ce sujet, voir les lignes directrices 2/2018 du Comité européen de la protection des données sur les dérogations à l'article 49 en vertu du règlement 2016/679, adoptées le 25 mai 2018.
(5)  https://www.cnil.fr/sites/default/files/atoms/files/cnil_guide_securite_personnelle.pdf.
La Présidente
COMMUNE X
MAIRIE
[…]
 
 
Paris, le
 
Références à rappeler dans toute correspondance :
N/Réf. : … - CTX -2022-031
Monsieur le Maire,
Je fais suite à la désignation, par le biais du téléservice, d'un délégué à la protection des données réceptionnée le 04 octobre 2022 en réponse à la décision n° MED-2022-044 que j’ai prise le 25 avril 2022 mettant en demeure la commune X.
Au regard des éléments de réponse apportés, je vous informe que j’ai décidé de procéder à la clôture du dossier.
Comme annoncé dans le courrier de notification de la mise en demeure, cette clôture fera l’objet de la même mesure de publicité que la mise en demeure. Ce courrier sera donc publié sur le site internet www.legifrance.fr et sur celui de la CNIL.
Les services de la Commission (…) se tiennent à la disposition des vôtres pour tout renseignement complémentaire.
Je vous prie d'agréer, Monsieur le Maire, mes salutations distinguées.
Marie-Laure DENIS
La Présidente
COMMUNE X
MONSIEUR LE MAIRE
[…]
 
 
 
 
Paris, le
 
Références à rappeler dans toute correspondance :
N/Réf. :….- CTX -2022-049
Monsieur le Maire,
Je fais suite à la désignation, par le biais du téléservice, d'un délégué à la protection des données réceptionnée le 08 octobre 2022 en réponse à la décision n° MED-2022-043 que j’ai prise le 25 avril 2022 mettant en demeure la commune X.
Au regard des éléments de réponse apportés, je vous informe que j’ai décidé de procéder à la clôture du dossier.
Comme annoncé dans le courrier de notification de la mise en demeure, cette clôture fera l’objet de la même mesure de publicité que la mise en demeure. Ce courrier sera donc publié sur le site internet www.legifrance.fr et sur celui de la CNIL.
Les services de la Commission (..) se tiennent à la disposition des vôtres pour tout renseignement complémentaire.
Je vous prie d'agréer, Monsieur le Maire, mes salutations distinguées.
Marie-Laure DENIS
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de Monsieur Alexandre LINDEN, président, Monsieur Philippe-Pierre CABOURDIN, vice-président, Monsieur Alain DRU et Monsieur Bertrand du MARAIS, membres ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;
Vu la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques ;
Vu le code des postes et des communications électroniques ;
Vu la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;
Vu le décret no 2019-536 du 29 mai 2019 pris pour l’application de la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;
Vu la décision n° 2021-020C du 4 janvier 2021 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements mis en œuvre par la société […] ou pour son compte ;
Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte, en date du 19 mai 2022 ;
Vu le rapport de Madame Valérie PEUGEOT, commissaire rapporteure, notifié à la société […] le 23 juin 2022 ;
Vu les observations écrites versées par le conseil de la société […] le 25 juillet 2022 ;
Vu la réponse de la rapporteure à ces observations notifiée le 11 août 2022 au conseil de la société ;
Vu les observations écrites versées par le conseil de la société […] le 9 septembre 2022 ;
Vu les autres pièces du dossier ;
Étaient présents, lors de la séance de la formation restreinte du 13 octobre 2022 :
- Madame Valérie PEUGEOT, commissaire, entendue en son rapport ;
en qualité de représentants de la société […] :
- […] ;
La société […] ayant eu la parole en dernier ;
La formation restreinte a adopté la décision suivante :
I. Faits et procédure
1. Créée en 1955, la société […] (ci-après la société […] ou la société ) est une société […] dont le siège social est situé […].
2. Le groupe […], lequel comprend la société-mère […] et ses filiales, est principalement actif en France et à l’étranger sur les marchés de l’électricité et, en particulier, dans la production d’électricité (nucléaire, renouvelable et fossile) et la vente en gros, le négoce, le transport, la distribution et la fourniture d’électricité. Le groupe […] est également présent sur les marchés du gaz et des services énergétiques, ainsi que dans la construction, l’exploitation et la maintenance de centrales électriques et de réseaux électriques et fournit des services de recyclage des déchets et des services énergétiques. Le groupe […] emploie plus de […] salariés, dont plus de […] pour la société […].
3. En 2020, le groupe […] a réalisé un chiffre d’affaires de plus de […] euros pour un résultat net de […] euros. En 2021, son chiffre d’affaires s’est élevé à plus de […] euros pour un résultat net de […] euros.
4. Dans le cadre des services fournis par la société, des données à caractère personnel de ses clients et de ses prospects sont traitées. Fin décembre 2020, la société comptait dans ses bases de données […] de clients pour la fourniture d’électricité, de gaz et de services et environ […] prospects, s’agissant du marché des particuliers. 
5. La Commission nationale de l’informatique et des libertés (ci-après la CNIL ou la Commission ) a été saisie de plusieurs plaintes à l’encontre de la société […], portant sur l’exercice des droits entre août 2019 et décembre 2020.
6. Un contrôle en ligne a été effectué sur le site web […] le 15 février 2021. Le procès-verbal n° 2021-020-1, dressé par la délégation à l’issue du contrôle, a été notifié à la société […] le 17 février 2021.
7. Une mission de contrôle sur pièces a également été réalisée par l’envoi d’un questionnaire à la société le 25 mars 2021, auquel la société a répondu le 29 avril 2021.
8. Deux demandes de compléments d’informations ont été adressées à la société les 13 juillet et 18 août 2021. La société y a répondu les 30 juillet, 31 août et 3 septembre 2021. 
9. Aux fins d’instruction de ce dossier, la présidente de la Commission a désigné Madame Valérie PEUGEOT en qualité de rapporteure, le 19 mai 2022, sur le fondement de l’article 39 du décret n° 2019-536 du 29 mai 2019 modifié.
10. Le 23 juin 2022, la rapporteure a fait notifier à la société un rapport détaillant les manquements au RGPD qu’elle estimait constitués en l’espèce. Ce rapport proposait à la formation restreinte de la Commission de prononcer une amende administrative au regard des manquements constitués aux articles 7, paragraphe 1, 12, 13, 14, 15, 21 et 32 du RGPD et L. 34-5 du code des postes et des communications électroniques (ci-après le CPCE ). Il proposait également qu’une injonction de mettre en conformité le traitement avec les dispositions des articles 7, paragraphe 1, 14 et 32 du RGPD et L. 34-5 du CPCE, assortie d’une astreinte, soit prononcée. Enfin, il proposait que la décision de sanction soit rendue publique, mais qu’il ne soit plus possible d’identifier nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.
11. Le 25 juillet 2022, la société a produit ses observations en réponse au rapport de sanction.
12. La rapporteure a répondu aux observations de la société le 11 août 2022. 
13. Le 9 septembre 2022, la société a produit de nouvelles observations en réponse à celles de la rapporteure.
14. Par courrier du 15 septembre 2022, la rapporteure a informé le conseil de la société que l’instruction était close, en application de l’article 40, III, du décret modifié n°2019-536 du 29 mai 2019.
15. Par courrier du même jour, le conseil de la société a été informé que le dossier était inscrit à l’ordre du jour de la formation restreinte du 13 octobre 2022.
16. La société et la rapporteure ont présenté des observations orales lors de la séance de la formation restreinte.
II. Motifs de la décision
A. Sur le manquement à l’obligation de recueillir le consentement des personnes concernées pour la mise en œuvre de prospection commerciale par voie électronique
17. Aux termes de l’article L. 34-5 du CPCE, est interdite la prospection directe au moyen de système automatisé de communications électroniques […], d’un télécopieur ou de courriers électroniques utilisant les coordonnées d’une personne physique […] qui n’a pas exprimé préalablement son consentement à recevoir des prospections directes par ce moyen. Pour l’application du présent article, on entend par consentement toute manifestation de volonté libre, spécifique et informée par laquelle une personne accepte que des données à caractère personnel la concernant soient utilisées à fin de prospection directe. […] . 
18. Aux termes de l’article 4, paragraphe 11, du RGPD, Aux fins du présent règlement, on entend par […] consentement de la personne concernée, toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l'objet d'un traitement .
19. Aux termes de l’article 7, paragraphe 1, du RGPD, Dans les cas où le traitement repose sur le consentement, le responsable du traitement est en mesure de démontrer que la personne concernée a donné son consentement au traitement de données à caractère personnel la concernant .
20. La rapporteure, pour proposer à la formation restreinte de considérer que la société a méconnu ses obligations résultant des articles L. 34-5 du CPCE et 7, paragraphe 1, du RGPD, tel qu’éclairé par les dispositions de l’article 4, paragraphe 11, du RGPD, se fonde sur le fait que la société […], qui réalise des opérations de prospection commerciale par voie électronique, n’est pas en mesure de disposer et d’apporter la preuve d’un consentement valablement exprimé par les prospects dont les données proviennent de courtiers en données avant d’être démarchés. En outre, la rapporteure a relevé que, dans le cadre de l’instruction de trois plaintes, il est apparu que la société avait des difficultés à obtenir du courtier en données concerné des éléments de preuve concernant le recueil du consentement : le courtier en données a produit le formulaire type, et non le formulaire rempli individuellement par chaque prospect, n’étant ainsi pas en mesure de transmettre la preuve individuelle du consentement.
21. En défense, la société fait valoir qu’aucune des trois plaintes visées dans le rapport ne concerne des opérations de prospection commerciale par voie électronique et donc que l’article L. 34-5 du CPCE est inapplicable. La société ajoute que les opérations de prospection commerciale par voie électronique sur la base de données collectées auprès de courtiers en données sont très ponctuelles et visent un nombre non significatif de prospects ([…] %). En outre, la société indique qu’elle a toujours strictement encadré ses relations contractuelles avec les courtiers en données auxquels elle fait appel et que des échanges fréquents avaient lieu, même s’ils n’étaient pas nécessairement formalisés sous forme d’audits. Enfin, la société explique […] que les données déjà collectées dans le cadre de campagnes précédentes ont été supprimées. Elle ajoute cependant avoir fait évoluer les contrats conclus avec les courtiers en données et mis en place, dès novembre 2021, des audits formalisés.
22. En premier lieu, la formation restreinte rappelle que, lorsque les données des prospects n’ont pas été collectées directement auprès d’eux par l’organisme qui prospecte, le consentement peut avoir été recueilli au moment de la collecte initiale des données par le primo-collectant, pour le compte de l’organisme qui réalisera les opérations de prospection ultérieures. À défaut, il revient à l’organisme qui prospecte de recueillir un tel consentement avant de procéder à des actes de prospection. Au regard des dispositions de l’article 7, paragraphe 1, du RGPD, le prospecteur doit alors être en mesure de prouver qu’il dispose de ce consentement. En outre, pour que le consentement soit éclairé, les personnes doivent notamment être clairement informées de l’identité du prospecteur pour le compte duquel le consentement est collecté et des finalités pour lesquelles les données seront utilisées. Pour ce faire, une liste exhaustive et mise à jour doit être tenue à la disposition des personnes au moment du recueil de leur consentement, par exemple directement sur le support de collecte ou, si celle-ci est trop longue, via un lien hypertexte renvoyant vers ladite liste et les politiques de confidentialité des prestataires et fournisseurs.
23. La formation restreinte note que les trois plaintes reçues par la CNIL et visées par la rapporteure ne portent pas sur des opérations de prospection commerciale électronique. Elle relève en revanche que […] prospects ont fait l’objet de prospection commerciale par voie électronique de la part de la société […] entre 2020 et janvier 2021, pour lesquels […] n’est pas en mesure de communiquer de pièces démontrant l’obtention d’un consentement valablement recueilli auprès des personnes.
24. Au surplus, si la société a fourni à la délégation de contrôle deux exemples de formulaire type de collecte de données des prospects mis à disposition par le courtier en données […], la formation restreinte relève qu’aucune liste de partenaires - incluant […] - devant être tenue à la disposition des prospects au moment de consentir, n’a été communiquée dans le cadre de la procédure, en dépit des demandes de la rapporteure en ce sens.
25. En deuxième lieu, la formation restreinte relève que, dans le cadre du contrôle sur pièces, la société a indiqué que les courtiers en données sont en charge de la collecte du consentement des personnes concernées et qu’elle leur demande de s’engager contractuellement à respecter le RGPD et les règles applicables en matière de prospection commerciale. La société a reconnu n’exercer aucun contrôle sur les formulaires de recueil utilisés, ni réaliser d’audits sur ses co-contractants, mais a affirmé conduire des échanges informels avec eux.
26. La formation restreinte considère dès lors que les mesures mises en place par la société […] pour s’assurer auprès de ses partenaires que le consentement a été valablement donné par les prospects avant d’être démarchés étaient insuffisantes.
27. Dans ces conditions, la formation restreinte considère que la société a méconnu ses obligations résultant des articles L. 34-5 du CPCE et 7, paragraphe 1, du RGPD, tel qu’éclairé par les dispositions de l’article 4, paragraphe 11, du RGPD.
28. Elle relève néanmoins que, dans le cadre de la présente procédure, la société a indiqué avoir supprimé les données déjà collectées dans le cadre de campagnes précédentes.
B. Sur le manquement à l’obligation d’information des personnes
29. L’article 13, paragraphe 1, du RGPD dresse la liste des informations devant être communiquées par le responsable de traitement aux personnes concernées lorsque leurs données à caractère personnel sont collectées directement auprès d’elles, parmi lesquelles les finalités du traitement auquel sont destinées les données à caractère personnel ainsi que la base juridique du traitement . 
30. Le paragraphe 2 de ce même article dispose qu’ en plus des informations visées au paragraphe 1, le responsable du traitement fournit à la personne concernée, au moment où les données à caractère personnel sont obtenues, les informations complémentaires suivantes qui sont nécessaires pour garantir un traitement équitable et transparent :
a) la durée de conservation des données à caractère personnel ou, lorsque ce n'est pas possible, les critères utilisés pour déterminer cette durée […] .
31. L’article 14 du RGPD dresse quant à lui la liste des informations devant être communiquées par le responsable de traitement aux personnes concernées lorsque leurs données à caractère personnel n’ont pas été collectées auprès d’elles. Le paragraphe 2 de ce même article prévoit qu’ en plus des informations visées au paragraphe 1, le responsable du traitement fournit à la personne concernée les informations suivantes nécessaires pour garantir un traitement équitable et transparent à l'égard de la personne concernée : […]
f) la source d'où proviennent les données à caractère personnel et, le cas échéant, une mention indiquant qu'elles sont issues ou non de sources accessibles au public […] .
32. Les lignes directrices sur la transparence au sens du règlement (UE) 2016/679, adoptées par le groupe de travail article 29 dans leur version révisée le 11 avril 2018, venant éclairer les dispositions de l’article 13, précisent que : la durée de conservation […] devrait être formulée de manière à ce que la personne concernée puisse évaluer, selon la situation dans laquelle elle se trouve, quelle sera la période de conservation s’agissant de données spécifiques ou en cas de finalités spécifiques. Le responsable du traitement ne peut se contenter de déclarer de façon générale que les données à caractère personnel seront conservées aussi longtemps que la finalité légitime du traitement l’exige. Le cas échéant, différentes périodes de stockage devraient être mentionnées pour les différentes catégories de données à caractère personnel et/ou les différentes finalités de traitement, notamment les périodes à des fins archivistiques.
33. Elles précisent également que la levée de l’obligation de fournir à la personne concernée des informations sur la source de ses données à caractère personnel s’applique uniquement lorsqu’une telle fourniture n’est pas possible en raison de l’impossibilité d’attribuer différents éléments des données à caractère personnel concernant une même personne à une source en particulier. En revanche, le simple fait qu’une base de données comprenant les données à caractère personnel de plusieurs personnes concernées ait été compilée par un responsable du traitement utilisant plus d’une source ne suffit pas à lever cette obligation s’il est possible (bien que chronophage ou fastidieux) de déterminer la source dont proviennent les données à caractère personnel des personnes concernées (paragraphe 60). 
34. La rapporteure relève, d’une part, un manquement à l’article 13 du RGPD dans la mesure où, au moment du contrôle en ligne effectué le 15 février 2021, la base légale n’était pas mentionnée et les durées de conservation des données n’étaient pas développées de manière suffisamment précise dans la charte de protection des données personnelles figurant sur le sous-domaine […] ; elle relève, d’autre part, un manquement à l’article 14 du RGPD, dans la mesure où les personnes démarchées par voie postale par la société n’étaient pas informées de la source précise de leurs données à caractère personnel, à savoir l’identité de la société auprès de laquelle […] les a obtenues.
35. En défense, la société considère que la charte de protection des données personnelles qui figurait sur le site web […] lors du contrôle en ligne du 15 février 2021 contenait l’ensemble des informations exigées au titre de l’article 13 du RGPD et garantissait un traitement équitable et transparent des données concernées. S’agissant des durées de conservation, la société relève que certaines durées de conservation étaient mentionnées, bien que non exhaustives car la société procédait, à la date du contrôle en ligne, à une large refonte des durées de conservation. Elle considère qu’il n’était donc pas possible d’indiquer l’ensemble des durées de conservation, puisque celles-ci étaient en cours de revue et de modification. S’agissant des bases légales, la société indique que l’article 13, paragraphe 1, c) du RGPD n’exige pas du responsable de traitement qu’il indique aux personnes concernées chaque base légale pour chaque finalité poursuivie, mais simplement qu’il informe des bases légales utilisées. Elle précise avoir néanmoins entrepris une modification profonde de la charte évoquée dont la mise à jour a été publiée en avril 2021 sur le site […] .
36. S’agissant du manquement à l’article 14, la société indique que la nature de la source était a minima visée dans les mentions d’information portées à l’attention des personnes concernées, à savoir un organisme spécialisé dans l’enrichissement de données . Elle ajoute que le fait de se limiter à une information assez générale sur l’origine des données permettait d’éviter une confusion en laissant entendre à la personne concernée qu’elle n’était inscrite que dans la base de données du courtier en données, alors qu’elle était susceptible de figurer simultanément dans plusieurs bases de données détenues par différents courtiers en données. La société argue enfin de l’absence de préjudice causé aux personnes qui pouvaient contacter […] afin d’obtenir davantage d’informations.
37. En premier lieu, la formation restreinte relève que la charte de protection des données personnelles présente sur le sous-domaine […] constituait l’information délivrée par la société au titre de l’article 13 du RGPD pour d’autres types de traitements que la prospection (par exemple création du compte client ou souscription d’un contrat en ligne). Or, la charte ne précisait pas la base légale correspondant à chaque finalité énumérée, élément pourtant exigé par l’article 13 du RGPD.
38. En outre, si la formation restreinte prend note des explications fournies par la société s’agissant de la refonte des durées de conservation en cours au moment des constatations en ligne effectuées par la délégation de contrôle, il n’en demeure pas moins que, au moment de ces constatations, ladite charte précisait Nous ne conservons vos données que pendant la durée nécessaire à leur traitement selon la finalité qui a été fixée , avec un exemple relatif aux durées de conservation pour les clients équipés d’un compteur […]. La formation restreinte considère que l’information sur les durées de conservation était vague et imprécise, de sorte qu’elle ne suffisait pas à garantir un traitement équitable et transparent des données à caractère personnel traitées. 
39. Dès lors, la formation restreinte considère que la société a méconnu ses obligations résultant de l’article 13 du RGPD. Elle prend néanmoins acte du fait que la société a remédié à ce manquement, puisque les bases légales et durées de conservation sont dorénavant détaillées dans la charte évoquée ci-avant.