AgentPublic/cnil huggingface dataset:
66. Le rapporteur relève qu’il ressort des constats effectués par la délégation de contrôle que la plaignante a fait l’objet de deux campagnes de prospection le 28 août 2018 et le 11 avril 2019. Le rapporteur considère, dès lors, que la plaignante a été rendue destinataire de prospection commerciale près de huit mois après avoir, pour la première fois, manifesté son opposition.
67. En défense, la société admet qu’une " erreur humaine " a été commise, de sorte que la plaignante a fait l’objet d’une campagne de prospection en avril 2019 alors qu’elle avait préalablement exercé son droit d’opposition. Cependant, la société considère qu’aucun manquement ne peut être retenu à son encontre dans la mesure où elle a " dûment pris en compte " l’opposition de la plaignante formulée par courrier du 29 avril 2019, soit avant les opérations de contrôle sur place auxquelles la CNIL a procédé en janvier 2020.
68. Sur ce dernier point, la formation restreinte considère que l’existence d’un manquement ne saurait se limiter aux éléments attestant d’une non-conformité au jour des constatations effectuées dans le cadre d’un contrôle mené en application de l’article 19 de la loi " Informatique et Libertés ", mais peut tout aussi bien reposer sur tout élément obtenu par les services de la CNIL ou le rapporteur, attestant d’une non-conformité pour des faits ayant donné lieu à une plainte auprès de la CNIL et à une saisine de la formation restreinte, même si au moment du contrôle il a été mis fin à cette non-conformité. En l’espèce, le manquement repose sur des éléments probants, et est donc avéré.
69. Dans ces conditions, la formation restreinte considère qu’en ne prenant pas en compte l’opposition de la plaignante au traitement de ses données à caractère personnel à des fins de prospection dans les délais prévus, la société a méconnu ses obligations découlant des articles 12 et 21 du RGPD.
70. Elle relève néanmoins que, dans le cadre de la procédure de sanction, la société a justifié avoir pris en compte la demande d’opposition de la plaignante et dès lors, avoir pris des mesures de mise en conformité avec les obligations du RGPD.
71. En deuxième lieu, s’agissant de la saisine n° 19016318 intervenue en septembre 2019, émanant de Monsieur […], celui-ci a expliqué avoir fait l’objet de prospection commerciale par SMS sur des offres commercialisées par la société [...] jusqu’en juillet 2019, et fourni les captures d’écran des SMS correspondants dans sa plainte. Le plaignant indique avoir manifesté à plusieurs reprises son opposition au traitement de ses données à caractère personnel à des fins de prospection commerciale, notamment en juin 2018 auprès du délégué à la protection des données (ci-après " le DPO ") du [...].
72. Le rapporteur observe qu’il ressort des éléments complémentaires communiqués par la société à la suite des contrôles que la société n’avait " au jour de la présente communication, pas retrouvé de trace de réponse apportée au plaignant " sans être en mesure d’en justifier la raison. Il considère, dès lors, que la société n’a pas pris en compte l’opposition du plaignant à recevoir de la prospection commerciale puisque ce dernier a continué à recevoir des sollicitations jusqu’en juillet 2019, soit près d’un an après avoir manifesté son opposition.
73. En défense, la société indique avoir pris en compte " promptement " la demande du plaignant, dès le 25 juillet 2018, après avoir reçu deux courriels de sa part les 10 juin et 8 juillet 2018. La société joint à cet effet une capture d’écran de la date d’inscription du plaignant au sein d’une base " anti prospection ". S’agissant ensuite des captures d’écran jointes par le plaignant, la société fait valoir qu’elles sont " dénuées de valeur probante puisque le numéro du destinataire n’apparaît pas, de sorte qu’il n’est pas établi que les SMS capturés par le plaignant aient été effectivement reçus par lui ". En revanche, elle ne conteste pas l’absence de réponse à la demande d’opposition du plaignant. Elle indique que le nouvel outil de ticketing mis en place à compter de juin 2019 permet désormais d’assurer une réponse systématique aux personnes concernées.
74. La formation restreinte considère que même si la société indique avoir pris en compte " promptement " la demande du plaignant, ce n’est pas pour autant qu’elle lui a apporté une réponse, puisque ce dernier n’en a reçu aucune et n’a donc pas eu d’information quant à la prise en compte de sa demande, ce qui est contraire aux dispositions de l’article 12 du RGPD.
75. Ensuite, s’il est exact que le numéro de téléphone n’apparaît pas sur les captures d’écran transmises par le plaignant, la formation restreinte relève qu’il est fréquent et compréhensible que les personnes qui déposent une plainte auprès de la CNIL transmettent les captures d’écran des messages reçus sur leur téléphone, ce qui ne permet logiquement pas de faire apparaître le numéro de téléphone du destinataire du message. Elle observe également que les sollicitations figurant sur les captures d’écran communiquées par le plaignant font bien référence à des dates ultérieures à la prise en compte de la demande de droit d’opposition du plaignant, confirmée par le DPO, puisqu’elles mentionnent des offres valables entre le 11 décembre 2018 et le 11 juillet 2019. Ainsi, la formation restreinte relève qu’aucun élément ne justifie de douter de la bonne foi du plaignant. Enfin, la formation restreinte rappelle que le droit d’opposition est attaché à une personne et non à un numéro de téléphone. La formation restreinte considère, dès lors, que ces captures d’écran révèlent que le plaignant a continué à recevoir des sollicitations près d’un an après avoir manifesté son opposition auprès du DPO du [...], en juin 2018.
76. Enfin, la formation restreinte rappelle que les améliorations apportées par l’outil de ticketing sont sans incidence sur l’existence et la matérialité du manquement, tant au regard des dispositions qui découlent de l’article 12 du RGPD (absence de réponse de la société au plaignant) que de son article 21 (Monsieur […] ayant continué à recevoir de la prospection commerciale près d’un an après avoir manifesté son opposition à l’utilisation de ses données pour cette finalité).
77. Dans ces conditions, la formation restreinte considère qu’en ne prenant pas en compte l’opposition du plaignant au traitement de ses données à caractère personnel à des fins de prospection dans les délais prévus, la société a méconnu ses obligations découlant des articles 12 et 21 du RGPD.
78. Elle relève néanmoins que, dans le cadre de la procédure de sanction, la société a justifié avoir pris des mesures pour se mettre en conformité avec les obligations découlant des articles 12 et 21 du RGPD.
79. En dernier lieu, s’agissant des saisines n° 17017795, de septembre 2017 et n° 19018125, d’octobre 2019, émanant de Monsieur […], celui-ci a expliqué qu’il a fait l’objet à plusieurs reprises de prospection par SMS et par courriers de la part de la société [...] portant sur la commercialisation d’offres, notamment celle relative au " Forfait [...] avec appels illimités […] ". Il indique avoir manifesté par courrier à plusieurs reprises, dès le mois de mars 2015, son opposition au traitement de ses données à caractère personnel à des fins de prospection commerciale et avoir pourtant continué à recevoir des sollicitations commerciales jusqu’en octobre 2019.
80. Par courriel du 21 septembre 2018, les services de la Commission ont rappelé à la société ses obligations en matière de prospection commerciale et lui a demandé de ne plus traiter les données du plaignant pour cette finalité commerciale. Par courriel du 3 octobre 2018, le DPO du [...] a répondu avoir pris en compte la demande et " supprimé les coordonnées de Monsieur […] ".
81. Le rapporteur observe qu’il ressort des éléments relevés lors du contrôle que, malgré les demandes formulées par le plaignant depuis 2015 et l’assertion du DPO du [...] en 2018 par laquelle il confirme " avoir supprimé les coordonnées de Monsieur […] ", son opposition au traitement de ses données à des fins de prospection n’a été prise en compte qu’à compter du 17 décembre 2019, soit plus de quatre ans après que la société a été destinataire de sa première demande.
82. En défense, la société indique qu’elle n’a jamais reçu de demande d’opposition du plaignant, à la différence de la société [...]. Elle considère qu’une demande d’opposition formée auprès de la société [...] n’est pas opposable à la société [...]. Elle indique toutefois qu’elle a pris en compte la volonté du plaignant lorsqu’il a " activé l’option anti démarchage sur son espace abonné ". Elle précise que cette opposition est effective depuis le 17 décembre 2019. La société précise ensuite que le courriel produit par le rapporteur, indiquant que le DPO du [...] confirme " avoir supprimé les coordonnées de Monsieur […] ", est une reconstitution d’un courriel et non l’original, ce qui ne constitue pas une preuve recevable, et elle relève par ailleurs que le courriel n’a pas été adressé aux bons interlocuteurs et qu’il n’incombait pas à la société [...] de prendre en compte la demande d’opposition du plaignant.
83. S’agissant d’abord de l’absence de réception de la demande d’opposition du plaignant par la société, la formation restreinte relève que le DPO du [...] – qui, par courriel du 3 octobre 2018, a indiqué à la CNIL " avoir supprimé les coordonnées de Monsieur […] " - est le DPO en charge des demandes relatives aux abonnés [...] et aux abonnés [...]. La formation restreinte considère qu’il lui incombait donc de traiter cette demande dans son ensemble ou de la répercuter, le cas échéant, auprès des services compétents afin qu’elle soit prise en compte.
84. En conséquence, l’argumentation de la société, selon laquelle il incombait à la seule société [...] de prendre en compte la demande du plaignant, ne peut être retenue. En effet, la demande du plaignant était une demande d’opposition générale à recevoir de la prospection commerciale par voie postale et par voie électronique (SMS et courriel) qui concernait aussi bien la société [...] que la société [...]. Dans son courrier du 5 mars 2015 adressé au service " Informatique et Libertés " de la société [...], le plaignant avait pris soin de préciser ses identifiants [...] et [...] et de formuler sa demande comme suit : " Conformément aux dispositions de l’article 38 alinéa 2 de la loi du 6 janvier 1978 modifiée, je vous demande de supprimer mes coordonnées de vos fichiers de contacts publicitaires, qu’ils soient par voie postale, téléphonique ou informatique. ".
85. S’agissant enfin de l’irrecevabilité du courriel du 3 octobre 2018 confirmant la réception et la prise en compte de la demande du plaignant par le DPO du [...], la formation restreinte observe que ce dernier ne figure pas dans sa forme originale dans l’outil métier de la CNIL (outil métier dans lequel sont enregistrés les éléments liés au traitement d’une plainte). Ce courriel était enregistré sous la forme d’une " communication ", qui est un onglet dans l’outil métier permettant à l’agent en charge de la plainte de ne pas enregistrer en tant que tel le courriel en pièce jointe du dossier mais d’indiquer manuellement qu’il a reçu un courriel de la société, en renseignant la date de réception, sélectionnant l’émetteur du message dans une liste de choix pré-définis et en copiant le contenu du message original. La formation restreinte considère, dès lors, que la manière dont ce courriel a été reproduit correspond bien à une procédure prévue dans l’outil métier de la CNIL et qu’elle peut le prendre en compte dans la mesure où l’ensemble des éléments pertinents y figurent, c’est-à-dire la date, le contenu du texte et l’identité de son auteur, et qu’ils présentent manifestement un lien direct avec l’objet de la plainte. Enfin, la formation restreinte relève que, si la société conteste la recevabilité de ce courriel, elle n’indique pas pour autant ne jamais avoir envoyé ce message.
86. Dès lors, la formation restreinte considère que l’argumentaire de la société n’est pas de nature à remettre en cause le fait que l’opposition du plaignant n’a été prise en compte qu’à compter du 17 décembre 2019, ce qui correspond selon la société à la date à laquelle le plaignant a activé " l’option anti démarchage sur son espace abonné ", ce qui est intervenu plus d’un an après l’indication par le DPO du [...], le 3 octobre 2018, de la prise en compte effective de cette demande, formulée initialement le 5 mars 2015.
87. Dans ces conditions, la formation restreinte considère qu’en ne prenant pas en compte l’opposition du plaignant au traitement de ses données à caractère personnel à des fins de prospection dans les délais prévus, la société a méconnu ses obligations découlant des articles 12 et 21 du RGPD.
88. Elle relève néanmoins que la société a justifié avoir pris des mesures pour se mettre en conformité avec les obligations découlant des articles 12 et 21 du RGPD.
89. Au vu de ce qui précède, la formation restreinte considère qu’un manquement aux obligations des articles 12 et 21 du RGPD est constitué pour les plaintes déposées par Madame […], Messieurs […] et […].
4. Sur le manquement relatif à l’obligation de protéger les données à caractère personnel dès la conception
90. Aux termes de l’article 25 du RGPD " 1. Compte tenu de l'état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, que présente le traitement pour les droits et libertés des personnes physiques, le responsable du traitement met en œuvre, tant au moment de la détermination des moyens du traitement qu'au moment du traitement lui-même, des mesures techniques et organisationnelles appropriées, telles que la pseudonymisation, qui sont destinées à mettre en œuvre les principes relatifs à la protection des données, par exemple la minimisation des données, de façon effective et à assortir le traitement des garanties nécessaires afin de répondre aux exigences du présent règlement et de protéger les droits de la personne concernée […] ".
91. Le rapporteur se fonde sur deux saisines de la CNIL en novembre 2019, émanant de Messieurs […] (plainte n° 19019626) et […] (plainte n° 19020342) et dans le cadre desquelles les plaignants faisaient état du fait qu’ils ne parvenaient pas à faire cesser l’envoi, par la société [...], de factures sur lesquelles apparaissait la mention d’une ligne mobile résiliée, pour proposer à la formation restreinte de considérer que la société a méconnu ses obligations résultant de l’article 25 du RGPD.
92. En défense, la société explique tout d’abord qu’elle adresse des factures à zéro euro à des clients après la résiliation de leur abonnement car ces derniers bénéficient d’un abonnement dit " multilignes ". La société précise que ce service permet à un abonné de rattacher à une ligne mobile principale, une ou plusieurs lignes secondaires, ce qui a pour conséquence de regrouper les factures des différentes lignes sur le compte principal associé à la ligne principale, et de procéder à un seul prélèvement correspondant à la somme des forfaits associés. La société fait ainsi valoir que " le traitement du numéro de téléphone correspondant à la ligne [mobile] principale résiliée est nécessaire, puisqu’il poursuit des finalités visant à permettre à [...] de poursuivre la bonne exécution de leur contrat en identifiant le débiteur des lignes multiples souscrites par ses abonnées et d’améliorer pour les abonnés, la lisibilité de la facturation de leurs abonnements et des prélèvements effectués sur leur compte ". Ensuite, la société précise néanmoins avoir initié une refonte de sa procédure de facturation de sorte que les factures des comptes multilignes associées à une ligne mobile principale résiliée comportent désormais la mention d’un identifiant permettant à l’abonné et à la société [...] de savoir, à des fins de facturation, qui est l’unique débiteur des lignes, sans continuer à mentionner la ligne principale résiliée sur la facture.
93. La formation restreinte relève qu’il ressort de l’article 25 du RGPD précité que les responsables de traitement doivent mettre en œuvre des mesures techniques et organisationnelles appropriées afin de respecter de façon effective les principes relatifs à la protection des données.
94. La formation restreinte considère que si l’information qu’une personne a été titulaire d’une ligne mobile résiliée peut effectivement être conservée à des fins d’exécution du contrat et à des fins comptables, ou encore pour la gestion du contentieux, il n’est en revanche pas nécessaire de continuer à traiter cette information dans le cadre de l’émission des facturations en cours, et de la faire apparaître sur ces dernières, alors que l’utilisation d’un identifiant permettant d’identifier le débiteur des différentes lignes mobiles (principales et secondaires) peut être utilisé à la place. La société aurait dû prévoir, dès la conception, des mesures organisationnelles et techniques pour ne plus traiter ces données dans ce cadre à la suite d’une demande de résiliation d’une ligne principale par la personne concernée.
95. Dans ces conditions, la formation restreinte considère que les faits précités constituent un manquement à l’article 25 du RGPD dès lors que la société n’a pas mis en œuvre les mesures organisationnelles et techniques permettant de procéder à l’effacement des données à caractère personnel qui n’étaient plus nécessaires pour les besoins de la facturation.
96. Elle relève néanmoins que, dans le cadre de la procédure de sanction, la société a justifié avoir effectué une refonte de sa procédure de facturation, de sorte que les factures comprennent désormais uniquement la mention des lignes actives, sans mention des lignes résiliées. La formation restreinte considère dès lors que la société s’est mise en conformité avec les obligations découlant de l’article 25 du RGPD.
5. Sur le manquement relatif à l’obligation d’assurer la sécurité des données à caractère personnel
97. L’article 32 du RGPD prévoit que : " Compte tenu de l'état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque (…) " et, notamment, " des moyens permettant de garantir la confidentialité, l'intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement " et d’une " procédure visant à tester, à analyser et à évaluer régulièrement l’efficacité des mesures techniques et organisationnelles pour assurer la sécurité du traitement ".
98. En premier lieu, le rapporteur se fonde sur deux saisines émanant de Mesdames […] (plainte n° 19012802 de juillet 2019) et […] (plainte n° 19019490 d’octobre 2019) et dans le cadre desquelles les plaignantes faisaient état de l’absence d’authentification systématique de l’utilisateur pour accéder à un compte utilisateur [...] (pour l’utilisateur disposant d’un téléphone équipé d’une carte SIM [...] ou pour une personne bénéficiant du partage de connexion d’un utilisateur doté d’un téléphone équipé d’une carte SIM [...]), pour proposer à la formation restreinte de considérer que la société a méconnu ses obligations résultant de l’article 32 du RGPD.
99. En défense, la société fait valoir que les contrôles de la CNIL n’ont pas porté sur ces plaintes et que l’accès à l’espace mobile d’un abonné depuis un autre appareil via un partage de connexion n’est pas possible.
100. Au vu des éléments apportés par la société, la formation restreinte estime qu’il n’y a pas lieu de retenir de manquement à l’article 32 du RGPD au titre de ces faits.
101. En second lieu, le rapporteur observe qu’il ressort des constats effectués dans le cadre de la procédure de contrôle que la société transmet par courriel, en clair, les mots de passe des utilisateurs lors de leur souscription à une offre auprès de la société [...].
102. En défense, la société fait d’abord valoir qu’en tant que responsable de traitement, elle est libre de choisir les mesures de sécurité à mettre en place et que les guides et les recommandations émises par la CNIL ou l’Agence nationale de la sécurité des systèmes d’information (ANSSI) n’ont pas de caractère impératif et n’ont pas valeur de loi. Dès lors, la société considère qu’aucun manquement ne peut être retenu en l’absence d’une " violation caractérisée de l’obligation de sécurité, matérialisé par la survenance d’une violation de données à caractère personnel ", ce qui n’est pas le cas en l’espèce d’après elle.
103. La société fait ensuite valoir qu’à l’époque des opérations de contrôle, les abonnés étaient incités à modifier leur mot de passe sur leur espace abonné et sensibilisés sur l’importance de garder ces mots de passe confidentiels. Elle indique en outre que le mot de passe initial attribué par la société [...] présente un niveau de robustesse élevé. Elle précise enfin que l’espace abonné permet uniquement d’accéder à des informations " basiques " et non à des informations sensibles.
104. Tout d’abord, la formation restreinte rappelle que, en application de l’article 32 du RGPD, pour assurer la protection des données à caractère personnel, il incombe au responsable de traitement de prendre des " mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque ". La formation restreinte considère qu’en l’espèce, les modalités de transmission des mots de passe mises en œuvre par la société ne sont pas adaptées au regard du risque que ferait peser sur la personne concernée la captation de leur identifiant et de leur mot de passe par un tiers. En effet, la transmission, en clair, d’un mot de passe qui n’est ni temporaire, ni à usage unique et dont le renouvellement n’est pas imposé, le rend aisément et immédiatement utilisable par un tiers qui aurait un accès indu au message qui le contient. Ce tiers pourrait ainsi accéder à toutes les données à caractère personnel présentes dans le compte utilisateur [...] de la personne concernée (notamment les nom, prénom, numéro de ligne mobile, adresse postale, adresse électronique, relevé d’identité bancaire, numéro de ligne mobile). Il pourrait également accéder à sa messagerie vocale, télécharger ses factures et le relevé de ses consommations, procéder à la modification du mot de passe, de l’adresse électronique ou des options du compte. Le fait que le mot de passe soit en lui-même robuste et que les personnes soient incitées à modifier leur mot de passe ne suffit pas à
compenser ces risques, qui peuvent notamment entraîner des usurpations d’identité et des tentatives d’hameçonnage. Dès lors, la prise en compte de ces risques pour la protection des données à caractère personnel et de la vie privée des personnes conduit la formation restreinte à considérer que les mesures déployées pour garantir la sécurité des données en l’espèce sont insuffisantes.