AgentPublic/cnil huggingface dataset:
104. En outre, elle précise que ces durées de conservation et le point de départ du délai lui sont imposés par les contraintes opérationnelles des Fournisseurs d’Accès Internet (FAI) ainsi que par les délais de prescription en matière pénale prévus à l’article 133-3 du code pénal. 
105. La formation restreinte relève que la société CALOGA applique une durée de conservation de douze mois maximum à compter de la dernière action du prospect actif . La société prend en compte la date la plus tardive entre la date de collecte ou d’expression de consentement de la personne concernée, la date d’ouverture du courriel ou la date de clic dans un lien situé dans un courriel. Au-delà de ces douze mois et sans interaction du prospect, ce dernier est considéré comme inactif . Une durée de conservation supplémentaire de quatre ans à compter du pas-sage en prospect inactif est ensuite appliquée par la société à des fins probatoires relatives au consentement des prospects. Elle relève que la société conserve ainsi plus de 13,5 millions d’adresses de courrier électronique correspondant à des prospects dont les données ont été collec-tées depuis plus de trois ans ou qui sont devenus inactifs depuis plus de trois ans.
106. En premier lieu, la formation restreinte relève que, pour déterminer le caractère actif ou inactif d’un prospect, la société a pris en compte la date de dernière ouverture d’un courriel électronique de prospection commerciale, comme date de dernière interaction avec le prospect faisant courir le délai de douze mois avant de passer le prospect au statut inactif. Ainsi, à chaque fois que le pros-pect ouvrira un courriel de la société – même par inadvertance –, la société prolongera la conser-vation des données de ce prospect dans ses bases actives, et ce potentiellement sans limitation. Selon une doctrine établie de longue date, la notion d’ interaction , telle qu’entendue par la société, est trop large en ce que la seule ouverture d’un courrier électronique ne traduit pas néces-sairement une volonté de rester en contact avec la société qui démarche la personne concernée. En effet, selon le service de messagerie électronique utilisé, le fait de cliquer une seule fois sur un nouveau courrier électronique peut suffire à l’ouvrir, ce qui peut résulter d’un simple accident de navigation. L’ouverture d’un courrier électronique ne procède donc pas de la même démarche active de la part de la personne concernée que, par exemple, le fait de cliquer sur un lien url con-tenu dans un courrier électronique de prospection renvoyant vers un produit ou un service parti-culier, ou encore de solliciter la société pour obtenir de la documentation sur l’un de ses produits ou services.
107. En second lieu, la formation restreinte relève que les données des prospects de la société sont acquises pour une finalité déterminée, à savoir la prospection commerciale. Si, une fois cette fina-lité atteinte, la conservation de certaines données peut être justifiée au regard d’autres finalités, par exemple les finalités de conservation des preuves liées au consentement des prospects et celle visant à s’assurer de l’arrêt total de toute sollicitation commerciale dudit prospect, invoquées par la société, la formation restreinte considère en revanche que la société se doit, à compter du pas-sage au statut inactif , d’effectuer un tri pour supprimer les données qui ne sont plus néces-saires et ne conserver que celles devant l’être au regard de ces finalités, en procédant à leur archi-vage intermédiaire pour en limiter l’accès aux seules personnes ayant le besoin d’en connaître en raison de leurs fonctions. La formation restreinte note que la société a confirmé ne procéder à aucun archivage intermédiaire et conserver l’ensemble des données de ses prospects en base ac-tive pendant une durée de quatre ans à compter du moment où le prospect est considéré comme inactif , ne mettant ainsi en place aucun accès différencié en fonction des finalités poursuivies et en ne procédant à aucun tri ou suppression des données en cause, telles que la date de nais-sance, le code postal ou encore l’adresse postale. Une telle pratique ne permet pas de respecter le principe de limitation posé
à l’article 5, paragraphe 1, e) du RGPD.
108. En tout état de cause, la formation restreinte considère que les contraintes opérationnelles imposées par des acteurs économiques ne peuvent pas justifier que les exigences découlant du RGPD soient écartées. 
109. S’agissant des délais prévus en matière de procédure pénale, la formation restreinte considère que les dispositions du code pénal invoquées par la société, à savoir la combinaison des articles 226-16 et 133-3 du code pénal, ne s’appliquent pas au traitement de prospection mis en œuvre par la société CALOGA. En effet, l’article 226-16 du code pénal vise le fait, y compris par négli-gence, de procéder ou de faire procéder à des traitements de données à caractère personnel sans qu'aient été respectées les formalités préalables à leur mise en œuvre prévues par la loi , ce qui concerne uniquement les traitements nécessitant des formalités préalables au traitement comme les traitements dans le domaine de la santé, ce qui n’est pas le cas en l’espèce.
110. Par conséquent, la formation restreinte relève que le fait, pour la société, de considérer l’ouverture d’un courriel comme une interaction du prospect pour définir le point de départ de la durée de conservation et de conserver en base active, sans opérer de tri, les données de ses prospects pendant une durée de quatre ans à compter du passage en statut inactif , constitue un manquement aux dispositions de l’article 5, paragraphe 1, e) du RGPD.
G. Sur le manquement relatif à l’obligation d’assurer la sécurité des données à caractère personnel en application de l’article 32 du RGPD
111. L’article 32, paragraphe 1, du RGPD prévoit que compte tenu de l’état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des per-sonnes physiques, le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque […] et notamment des moyens permettant de garantir la confidentialité, l'intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement et d’une pro-cédure visant à tester, à analyser et à évaluer régulièrement l’efficacité des mesures techniques et organisationnelles pour assurer la sécurité du traitement .
112. En matière d’authentification, il est nécessaire de veiller à ce qu’un mot de passe permettant de s’authentifier sur un système ne puisse pas être divulgué. La conservation des mots de passe de manière sécurisée constitue une précaution élémentaire en matière de protection des données à caractère personnel. Dès 2013, l'ANSSI alertait et rappelait les bonnes pratiques s’agissant de la conservation des mots de passe en indiquant qu’ils doivent être stockés sous une forme trans-formée par une fonction cryptographique à sens unique (fonction de hachage) et lente à calculer telle que PBKDF2 et que la transformation des mots de passe doit faire intervenir un sel aléa-toire pour empêcher une attaque par tables précalculées .
113. La Commission précise également dès sa délibération n° 2017-012 du 19 janvier 2017, s'agissant des modalités de conservation, que le mot de passe ne doit jamais être stocké en clair. Elle re-commande qu'il soit transformé au moyen d'une fonction cryptographique non réversible et sûre (c'est-à-dire utilisant un algorithme public réputé fort dont la mise en œuvre logicielle est exempte de vulnérabilité connue), intégrant l'utilisation d'un sel ou d'une clé. La commission estime de plus que le sel ou la clé doit être généré au moyen d'un générateur de nombres pseudo-aléatoires cryp-tographiquement sûr (c'est-à-dire basé sur un algorithme public réputé fort dont la mise en œuvre logicielle est exempte de vulnérabilité connue), et ne pas être stocké dans le même espace de stockage que l'élément de vérification du mot de passe . Ces exigences ont été reprises dans la délibération n° 2022-100 du 21 juillet 2022 portant adoption d'une recommandation relative aux mots de passe et autres secrets partagés, et abrogeant la délibération n°2017-012 du 19 janvier 2017 (cf. §§ 48 et s.). En outre, la formation restreinte a, à plusieurs reprises, sanctionné des or-ganismes sur ce point (v. en ce sens, CNIL, FR, 24 novembre 2022, n° SAN-2022-021, publié et CNIL, FR, 12 octobre 2023, n° SAN-2023-015).
114. La rapporteure considère que les mots de passe permettant l’accès au back-office de la société sont stockés dans un fichier où ils sont hachés avec la fonction algorithmique MD5, considérée comme étant obsolète. En outre, elle affirme que l’accès aux bases de données de la société se fait via un unique compte utilisateur dont les identifiants sont connus par deux personnes.
115. La société considère qu’aucun élément ne permet d’affirmer que les accès aux bases de données étaient rendus possibles via le back-office. Elle précise que le stockage des mots de passe en MD5 concerne les personnes ayant accès au back-office. La société estime que, dès lors que le back-office ne permettait pas d’accéder à des données à caractère personnel, l’article 32 du RGPD n’est pas applicable au cas d’espèce.
116. En outre, elle affirme que le compte MySQL programmatique est un compte accessible via un identifiant et un mot de passe, et qui est destiné à être utilisé par l’ensemble des scripts PHP, c’est-à-dire des listes de commandes ou d'instruction utilisant le langage de programmation PHP, ayant besoin d’accéder à la base de données. L’accès à ces identifiants est protégé, ceux-ci n’étant accessibles que via une connexion préalable de l’un deux administrateurs. Elle conclut donc que les mesures permettant d’assurer la traçabilité relative aux connexions sur ce compte sont suffisantes.
117. En premier lieu, la formation restreinte rappelle qu’en ce qui concerne la sécurité des mots de passe, la fonction de hachage MD5 présente des vulnérabilités connues qui ne permettent pas de garantir l’intégrité et la confidentialité des mots de passe en cas d’attaque par force brute après compromission des serveurs qui les hébergent. Dans la mesure où, de manière générale, un grand nombre d’internautes utilise le même mot de passe pour s’authentifier à leurs différents comptes en ligne, des attaquants pourraient exploiter les données compromises pour multiplier les intru-sions sur leurs autres comptes aux fins d’effectuer par exemple des vols ou des escroqueries. La formation restreinte a déjà eu l’occasion de rappeler que le recours à la fonction de hachage MD5 par la société n’est plus considérée depuis 2004 comme à l’état de l’art et son utilisation en cryptographie ou en sécurité est proscrite. Ainsi, l’utilisation de cet algorithme permettrait à une personne ayant connaissance du mot de passe haché de déchiffrer celui-ci sans difficulté en un temps très court (par exemple, au moyen de sites internet librement accessibles qui permettent de retrouver la valeur correspondante au hash du mot de passe) (délibération SAN-2021-008 du 14 juin 2021).
118. La formation considère que les éléments du dossier ne permettent pas d’établir que le back-office permet d’accéder à des données à caractère personnel. Elle note toutefois que, dans l’hypothèse où les mots de passe permettant d’accéder au back-office et ceux permettant d’accéder à la base de données seraient stockés selon les même procédés, l’algorithme de hachage MD5 est considéré comme étant obsolète, il ne permettrait pas d’assurer la sécurité des données à caractère personnel.
119. En second lieu, la formation restreinte relève que l’accès à la base de données se fait par le biais d’un compte programmatique. Or, quand bien même les identifiants de ce compte sont partagés entre deux individus, l’accès restreint au compte programmatique à un nombre limité d’adresses IP permet effectivement d’assurer la traçabilité des connexions.
120. Par conséquent, la formation restreinte considère que le manquement à l’article 32 du RGPD n’est pas caractérisé.
III. SUR LES MESURES CORRECTRICES ET LEUR PUBLICITÉ
121. Aux termes de l’article 20-IV de la loi n° 78-17 du 6 janvier 1978 modifiée, lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l'informatique et des libertés peut […] saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l'une ou de plusieurs des mesures suivantes : […] 
7° À l'exception des cas où le traitement est mis en œuvre par l'État, une amende administrative ne pouvant excéder 10 millions d'euros ou, s'agissant d'une entreprise, 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l'article 83 du règlement (UE) 2016/679 du 27 avril 2016, ces plafonds sont portés, respectivement, à 20 millions d'euros et 4 % dudit chiffre d'affaires. La formation restreinte prend en compte, dans la détermination du montant de l'amende, les critères précisés au même article 83 .
122. L’article 83 du RGPD prévoit en outre que chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour des violations du présent règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives , avant de préciser les éléments devant être pris en compte pour décider s'il y a lieu d’imposer une amende administrative et pour décider du montant de cette amende.
123. Enfin, l’article 22, alinéa 2 de la loi Informatique et Libertés dispose que la formation restreinte peut rendre publique les mesures qu’elle prend . 
124. La rapporteure propose à la formation restreinte de prononcer à l’encontre de la société une amende administrative au regard des manquements aux articles 5, paragraphe 1, e), 6 et 32 du RGPD et à l’article L. 34-5 du CPCE. Elle propose que la délibération de la formation restreinte soit rendue publique. 
125. En défense, la société considère qu’elle a accordé tout au long de son activité une attention particulière à la conformité au RGPD. Elle affirme que le manquement relatif à la sécurité des données n’est pas caractérisé et que, s’agissant des autres manquements, il ne peut pas lui être reproché l’absence de conformité à des nouvelles exigences imposées par la CNIL.
126. Dans l’hypothèse où la formation restreinte déciderait du prononcé d’une amende, la société considère que le montant proposé par la rapporteure doit faire l’objet, a minima, d’une baisse significative. Elle précise que les éléments financiers à prendre en compte pour apprécier le montant de l’amende doivent être appréciés au moment où la décision d’imposer une amende est prise et non au moment de la violation. La formation restreinte doit donc prendre en compte l’exercice de l’année 2023, sachant que le chiffre d’affaires pour cette année s’élève à […] euros pour un résultat net déficitaire de […] euros. Elle affirme que sa situation économique l’a poussée à cesser son activité. Pour l’année 2024, la société a réalisé un chiffre d’affaire de […] euros pour un résultat net déficitaire de […] euros
127. Enfin, la société ne s’oppose pas à la publicité de la sanction. 
A. Sur le prononcé d’une amende administrative et son montant
128. A titre liminaire, la formation restreinte rappelle que l’exigence de motivation d’une sanction administrative n’impose pas à la formation restreinte de se prononcer sur l’ensemble des critères prévus à l’article 83 du RGPD, et qu’elle n’implique pas non plus que soient indiqués les éléments chiffrés relatifs au mode de détermination du montant de la sanction proposée ou prononcée (CE, 10e/9e ch., 19 juin 2020, n° 430810 ; CE, 10e/9e ch., 14 mai 2024, n° 472221). En outre, si les lignes directrices adoptées par le Comité européen de la protection des données ont pour ambition de fixer des montants de départ harmonisés et des orientations communes sur la base desquelles les amendes administratives peuvent être calculées, les autorités de contrôle ne sont aucunement tenues d’en observer toutes les étapes si ces dernières ne trouvent pas application dans un cas donné, ni d’exposer les motivations ayant trait aux aspects des lignes directrices qui sont sans objet. Cependant, le raisonnement devrait inclure au minimum les facteurs qui ont permis de déterminer le degré de gravité, le chiffre d’affaires appliqué ainsi que les facteurs aggravants ou atténuants qui ont été pris en considération . 
129. Ceci étant rappelé, la formation restreinte considère qu’il convient, en l’espèce, d’examiner les critères pertinents de l’article 83 du RGPD pour décider s’il y a lieu d’imposer une amende administrative à la société et, le cas échéant, pour déterminer son montant.
1) Sur le prononcé de l’amende
130. Premièrement, la formation restreinte considère qu’il y a lieu de faire application du critère prévu à l’alinéa a) de l’article 83, paragraphe 2 du RGPD relatif à la nature, à la gravité et à la durée de la violation, compte tenu de la nature, de la portée du traitement et du nombre de personnes concernées et du niveau de dommage qu'elles ont subi.
131. La formation restreinte relève tout d’abord que les manquements aux articles 5, paragraphe 1, e) et 6 du RGPD concernent les principes fondamentaux de la protection des données et sont susceptibles d’être sanctionnés par l’amende la plus élevée prévue par le législateur européen, soit 20 millions d’euros ou, dans le cas d'une entreprise, jusqu'à 4 % de son chiffre d'affaires. A titre d’éclairage, les lignes directrices sur l’application et la fixation des amendes administratives adoptées par le groupe de travail article 29 (désormais, le CEPD) le 3 octobre 2017 soulignent qu’en fixant deux montants maximaux différents pour l’amende administrative (10 et 20 millions d’euros), le règlement indique déjà que la violation de certaines dispositions du règlement peut être plus grave que celle d’autres dispositions .
132. La formation restreinte souligne que ces manquements concernent les principes de base d’un traitement et ont trait notamment à sa licéité, certaines des opérations de prospection commerciale réalisées intervenant sans base légale valable (la société ne disposant pas du consentement des personnes concernées pour les démarcher par voie électronique et ne pouvant se fonder sur la base légale de l’intérêt légitime pour transmettre à ses partenaires les données de prospects à des fins de prospection par voie électronique). La formation restreinte insiste en outre sur le nombre particulièrement élevé de personnes dont la société traite les données de plus de 2,8 millions de prospects. 
133. S’agissant plus particulièrement du manquement à l’article L. 34-5 du CPCE, la formation restreinte entend souligner sa particulière gravité dans la mesure où il a été constaté que les formulaires transmis par la société ne permettaient pas de recueillir un consentement valable des personnes concernées. Ces constats attestent du caractère systémique et non isolé du manquement, étant précisé que les formulaires examinés proviennent de deux des trois plus gros fournisseurs de données de la société. En outre, la formation restreinte entend insister sur le nombre de personnes concernées par le manquement, la société ayant indiqué avoir adressé 6 millions de messages de prospection par voie électronique au cours de l’année 2022.
134. Deuxièmement, la formation restreinte estime qu’il convient de tenir compte du critère prévu à l’article 83, paragraphe 2, b) du RGPD, relatif au fait que la violation ait été commise délibérément ou par négligence. 
135. Ainsi qu’il a déjà été rappelé, la formation restreinte souligne que les règles relatives à la prospection commerciale sont définies depuis de nombreuses années et que la société était parfaitement consciente que pour réaliser ses opérations de prospection par voie électronique, elle devait disposer d’un consentement valable. La formation restreinte relève à cet égard que la société a mis en place, dès 2014, des procédures visant à réaliser des audits de ses fournisseurs et à vérifier la validité du consentement recueilli. Malgré ces vérifications, la société n’a pas pris les mesures propres à assurer sa mise en conformité. Au contraire, la société a continué à exploiter les données transmises. La formation restreinte considère qu’en s’affranchissant du respect de ces règles, la société s’est montrée, à tout le moins, fortement négligente.
136. Troisièmement, la formation restreinte entend tenir compte de certaines autres circonstances applicable aux faits de l’espèce, en application de l’article 83, paragraphe 2, k) du RGPD. 
137. La formation restreinte considère notamment que la société a tiré des violations commises un avantage financier certain, dans la mesure où elle s’est vu rémunérer par ses clients pour la fourniture des données en cause.
138. La formation restreinte prend toutefois bonne note que la société a cessé son activité.
139. La formation restreinte considère que l’ensemble de ces éléments justifient le prononcé d’une amende administrative.
2) sur le montant de l’amende
140. La formation restreinte rappelle que les violations relevées sont susceptibles de faire l’objet, en vertu de l’article 83 du RGPD, d’une amende administrative pouvant s’élever jusqu’à 20 millions d’euros ou jusqu’à 4 % du chiffre d’affaires annuel mondial de l’exercice précédent, le montant le plus élevé étant retenu.
141. Elle considère que l’activité de la société et sa situation financière doivent notamment être prises en compte. Elle relève à cet égard que l’activité de la société CALOGA a cessé. Pour l’année 2023, la société a réalisé un chiffre d’affaire de […] euros pour un résultat net déficitaire de […] euros. Pour l’année 2024, la société a réalisé un chiffre d’affaire de […] euros pour un résultat net déficitaire de […] euros.
142. Au regard de la responsabilité de la société, de ses capacités financières et des critères pertinents de l’article 83, paragraphe 2 du RGPD évoqués ci-avant, la formation restreinte estime qu’une amende de quatre-vingt mille (80 000) euros apparaît justifiée
B. Sur la publicité de la sanction
143. La formation restreinte considère qu’une telle mesure se justifie au regard de la gravité des manquements en cause, de la position de la société sur le marché ainsi que du nombre de personnes concernées, lesquelles se doivent d’être informées.
144. Elle relève également que cette mesure a notamment vocation à informer les personnes concernées par les traitements mis en œuvre par la société, ainsi que les sociétés partenaires. S’agissant des prospects, cette information leur permettra, le cas échéant, de faire valoir leurs droits. 
145. Elle estime en outre que cette mesure apparait proportionnée dès lors que la décision n’identifiera plus nommément la société à l’issue d’un délai de deux ans à compter de sa publication. 
 
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide de : 
•  prononcer une amende administrative à l’encontre de la société CALOGA d’un montant de quatre-vingt mille (80 000) euros pour manquements aux articles 5, paragraphe 1, e) et 6 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 et L. 34-5 du code des postes et communications électroniques ; 
•  rendre publique, sur le site web de la CNIL et sur le site web de Légifrance, sa délibération, qui ne permettra plus d’identifier nommément la société à l’issue d’une durée de deux ans à compter de sa publication.
Le président
Philippe-Pierre CABOURDIN