AgentPublic/cnil huggingface dataset:
E. Sur le manquement relatif à l’obligation de respecter le droit d’opposition des personnes en application de l’article 21 du RGPD
60. Aux termes de l’article 21.2 du RGPD : " lorsque les données à caractère personnel sont traitées à des fins de prospection, la personne concernée a le droit de s’opposer à tout moment au traitement des données à caractère personnel la concernant à de telles fins de prospection, y compris au profilage dans la mesure où il est lié à une telle prospection ". 
61. En premier lieu, la rapporteure a relevé que l’auteur de la plainte n° […] s’est opposé à la réception de messages de prospection de la part de la société sur ses deux adresses de messagerie électronique, le 11 décembre 2018. 
62. La rapporteure a considéré que la société n’avait pas répondu de manière satisfaisante à la demande d’opposition du plaignant, dès lors que sa demande d’opposition n’a été prise en compte que le 11 janvier 2020 et pour une seule des deux adresses électroniques concernées. 
63. En réponse, la société a indiqué ne pas avoir trouvé trace de cette demande d’opposition dans ses systèmes. Elle indique en outre ne pas avoir retrouvé non plus dans sa base de données la première adresse électronique visée par le plaignant dans sa demande et précise, s’agissant de la seconde adresse électronique, que c’est l’auteur de la plainte lui-même qui s’est désinscrit des newsletters le 11 janvier 2020.
64. La formation restreinte considère que, s’agissant de cette première plainte, les éléments du débat ne permettent pas de conclure à l’existence d’un manquement commis par la société. 
65. En second lieu, l’instruction des plaintes n° […] reçues par la CNIL a révélé l’existence de dysfonctionnements du lien de désinscription figurant en bas des courriels de prospection adressés par la société, résultant de deux types de problèmes techniques affectant l’une ou l’autre des étapes du processus de désabonnement. 
66. D’abord, entre le 11 novembre 2018 et le 21 janvier 2019, des dysfonctionnements sont intervenus dans la transmission d’informations relatives aux désabonnements entre l’outil permettant de gérer l’envoi des newsletters et le référentiel clients, qui consigne l’information selon laquelle un client est, ou non, abonné aux newsletters. Ainsi, pendant cette période, l’outil de gestion des newsletters n’était pas informé par le référentiel clients des créations ou mises à jour de contacts et des désabonnements aux newsletters associés réalisés tous les dimanches entre 0 h et 20 h. Dès lors, jusqu’au 21 janvier 2019, l’auteur de la réclamation n°[…] a continué à recevoir des messages de prospection commerciale de la part de la société, malgré sa demande de désabonnement formulée le dimanche 18 novembre 2018 dans l’après-midi.
67. Ensuite, une autre anomalie, affectant également la synchronisation des désabonnements entre le référentiel clients et l’outil qui gère l’envoi des newsletters, a été identifiée par la société le 8 février 2019. Cette anomalie explique que l’auteure de la réclamation n° […] ait continué à recevoir la newsletter de la société […] entre le 2 janvier 2019 et le 8 février 2019, malgré la suppression de ses données au sein du référentiel clients dès le 1er janvier 2019. 
68. La formation restreinte considère que ces deux anomalies, qui se sont reproduites pendant plusieurs semaines, sont susceptibles d’avoir empêché un nombre significatif de personnes de s’opposer efficacement à la réception des messages de prospection. Elle relève à cet égard qu’il ressort des pièces du dossier qu’en 2019, 35,3 millions de personnes recevaient sur une adresse électronique valide au moins l’une des newsletters du groupe […]. 
69. En réponse, la société indique avoir pris des mesures visant à améliorer la gestion des demandes d’exercice des droits et à prévenir les anomalies dans la prise en compte des demandes d’opposition.
70. La formation restreinte prend acte des mesures de mise en conformité adoptées par la société, mais considère que la société a méconnu pour le passé ses obligations au titre des dispositions de l’article 21.2 du RGPD, dès lors que les anomalies précitées ont fait échec à la prise en compte dans un délai raisonnable des demandes d’opposition à recevoir des messages de prospection commerciale de la part des personnes concernées. 
F. Sur le manquement relatif à l’obligation d’assurer la sécurité des données à caractère personnel en application de l’article 32 du RGPD
71. L’article 32 du Règlement dispose : 
" 1. Compte tenu de l'état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, y compris entre autres, selon les besoins :
a) la pseudonymisation et le chiffrement des données à caractère personnel ;
b) des moyens permettant de garantir la confidentialité, l'intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement ;
c) des moyens permettant de rétablir la disponibilité des données à caractère personnel et l'accès à celles-ci dans des délais appropriés en cas d'incident physique ou technique ;
d) une procédure visant à tester, à analyser et à évaluer régulièrement l'efficacité des mesures techniques et organisationnelles pour assurer la sécurité du traitement […]".
72. En premier lieu, la rapporteure relève que, lors du contrôle sur place du 11 février 2020, la délégation a constaté que l’utilisation d’un mot de passe composé de huit caractères contenant seulement deux types de caractères (sept lettres majuscules et un caractère spécial) permettait d’accéder à l’outil de gestion l’envoi des communications aux clients. 
73. La rapporteure estime que, compte tenu notamment du volume de données à caractère personnel traité par l’outil " Adobe Campaign ", les exigences mises en place par la société en matière de robustesse des mots de passe sont insuffisantes et ne permettent pas d’assurer la sécurité des données à caractère personnel.
74. En réponse, la société fait valoir que, compte tenu de l’existence d’une mesure complémentaire de sécurité – tenant en ce que l’accès au logiciel " Adobe Campaign " n’est possible que depuis un terminal connecté au réseau […] – un seul niveau de complexité (minuscule ou chiffre) manquait pour que le mot de passe constaté par la délégation réponde aux recommandations de la CNIL. La société justifie par ailleurs avoir renforcé les règles de complexité du mot de passe d’accès au logiciel " Adobe Campaign ", qui doit désormais comprendre un minimum de neuf caractères et quatre niveaux de complexité. 
75. La formation restreinte considère que la longueur et la complexité d’un mot de passe demeurent des critères élémentaires permettant d’apprécier la force de celui-ci. Elle relève à cet égard que la nécessité d’un mot de passe fort est également soulignée par l’Agence nationale de sécurité des systèmes d’information.
76. À titre d’éclairage, la formation restreinte rappelle que pour assurer un niveau de sécurité suffisant et satisfaire aux exigences de robustesse des mots de passe, lorsqu’une authentification repose uniquement sur un identifiant et un mot de passe, la CNIL recommande, dans sa délibération n° 2017-012 du 19 janvier 2017, que le mot de passe comporte au minimum douze caractères - contenant au moins une lettre majuscule, une lettre minuscule, un chiffre et un caractère spécial - ou alors comporte au moins huit caractères - contenant trois de ces quatre catégories de caractères - s’il est accompagné d’une mesure complémentaire comme, par exemple, la temporisation d’accès au compte après plusieurs échecs (suspension temporaire de l’accès dont la durée augmente à mesure des tentatives), la mise en place d’un mécanisme permettant de se prémunir contre les soumissions automatisées et intensives de tentatives (comme un " captcha ") et/ou le blocage du compte après plusieurs tentatives d’authentification infructueuses.
77. En l’espèce, la formation restreinte considère qu’au regard des règles encadrant leur composition, la robustesse des mots de passe admis par la société pour l’accès au logiciel " Adobe Campaign " était trop faible, conduisant à un risque de compromission des données à caractère personnel qu’il contient.
78. La formation restreinte relève toutefois que la société justifie avoir renforcé le niveau de complexité des mots de passe de connexion au logiciel " Adobe Campaign ". 
79. En conséquence, la formation restreinte considère que le manquement relatif à l’obligation d’assurer la sécurité des données à caractère personnel est constitué, mais que la société s’est mise en conformité sur ce point avant la clôture de l’instruction. 
80. En second lieu, la rapporteure a indiqué que lorsque le compte d’un client est suspendu en raison d’une suspicion de connexion frauduleuse, le service client invite la personne concernée à transmettre la copie de sa pièce d’identité en pièce jointe d’un courriel. 
81. La rapporteure relève que les conditions dans lesquelles la copie de la pièce d’identité des clients dont le compte a été suspendu est transmise, ne permettent pas de se prémunir contre son interception par un tiers.
82. La formation restreinte estime que la pratique consistant en la transmission de données non chiffrées par courriel électronique génère un risque important pour la confidentialité des données transmises.
83. A cet égard, la formation restreinte rappelle que, dans son guide sur " la sécurité des données personnelles ", la CNIL recommande comme précaution élémentaire de sécurité le chiffrement des données avant leur enregistrement sur un support physique ou leur transmission par messagerie électronique. Elle recommande également d’assurer la confidentialité du mot de passe de déchiffrement en le transmettant par un autre canal. 
84. Au regard de l’ensemble de ces éléments, la formation restreinte considère que les faits précités sont constitutifs d’un manquement à l’article 32 du RGPD. 
III. Sur les mesures correctrices et leur publicité
85. Aux termes du III de l’article 20 de la loi du 6 janvier 1978 modifiée :
" Lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l'informatique et des libertés peut également, le cas échéant après lui avoir adressé l'avertissement prévu au I du présent article ou, le cas échéant en complément d'une mise en demeure prévue au II, saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l'une ou de plusieurs des mesures suivantes : […]
7° À l'exception des cas où le traitement est mis en œuvre par l'État, une amende administrative ne pouvant excéder 10 millions d'euros ou, s'agissant d'une entreprise, 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l'article 83 du règlement (UE) 2016/679 du 27 avril 2016, ces plafonds sont portés, respectivement, à 20 millions d'euros et 4 % dudit chiffre d'affaires. La formation restreinte prend en compte, dans la détermination du montant de l'amende, les critères précisés au même article 83 ".
86. L’article 83 du RGPD prévoit que " Chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour des violations du présent règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives ", avant de préciser les éléments devant être pris en compte pour décider s’il y a lieu d’imposer une amende administrative et pour décider du montant de cette amende.
87. En défense, la société soutient qu’une sanction n’est pas nécessaire compte tenu de l’ensemble des mesures qu’elle a prises pour remédier aux manquements constatés et considère, en tout état de cause, que le montant de l’amende administrative proposée par la rapporteure est disproportionné eu égard, notamment, à la faible gravité des manquements, aux mesures prises pour y remédier, à sa coopération avec les services de la CNIL et à sa situation financière, sensiblement dégradée en raison de la crise sanitaire actuelle. La société soutient par ailleurs que la publicité de la décision de sanction de la formation restreinte aurait pour elle des conséquences manifestement disproportionnées. 
88. S’agissant de la nature et de la gravité de la violation, la formation restreinte relève d’abord le nombre de manquements reprochés à la société : réalisation de campagnes de prospection massives par courrier électronique sans consentement des personnes, absence d’information aisément accessible et complète sur les traitements effectués, difficultés rencontrées dans le cadre de l’exercice de leurs droits par les plaignants et défauts de sécurité des données. Elle souligne que ces manquements portent sur plusieurs principes fondamentaux de la législation applicable en matière de protection des données à caractère personnel et qu’ils constituent une atteinte substantielle aux droits des personnes concernées.
89. La formation restreinte relève ensuite le nombre particulièrement important de personnes concernées par ces manquements, dès lors qu’en 2019, 35,3 millions de personnes recevaient sur une adresse électronique valide au moins l’une des newsletters du groupe […]. 
90. La formation restreinte retient, enfin, que ces manquements ont eu des conséquences directes pour les personnes concernées, comme en témoigne notamment le fait que la CNIL a été saisie de onze plaintes portant en particulier sur le droit d’opposition à recevoir des messages de prospection commerciale.
91. Dès lors, la formation restreinte considère qu’il y a lieu de prononcer une amende administrative au regard des manquements constitués.
92. S’agissant du montant de l’amende concernant les manquements au RGPD, la formation restreinte rappelle que le paragraphe 3 de l’article 83 du Règlement prévoit qu’en cas de violations multiples, comme c’est le cas en l’espèce, le montant total de l’amende ne peut excéder le montant fixé pour la violation la plus grave. Dans la mesure où il est reproché à la société un manquement aux articles 12.1, 12.3, 13, 15.1, 21.2 et 32 du Règlement, le montant maximum de l’amende pouvant être retenu s’élève à 20 millions d’euros ou 4% du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu.
93. La formation restreinte relève que le chiffre d’affaires de la société s’élevait à […] d’euros en 2021.
94. S’agissant du montant de l’amende relative au manquement à l’article L.34-5 du CPCE, la formation restreinte rappelle qu’en ce qui concerne les manquements à des dispositions trouvant leur origine dans d’autres textes que le RGPD, comme c’est le cas de l’article L.34-5 du CPCE qui transpose en droit interne la directive " ePrivacy ", l’article 20, paragraphe III, de la loi " informatique et libertés " lui donne compétence pour prononcer diverses sanctions, notamment une amende administrative dont le montant maximal peut être équivalant à 2 % du chiffre d'affaires annuel mondial total de l’exercice précédent réalisé par le responsable de traitement. En outre, la détermination du montant de cette amende s’apprécie également au regard des critères précisés par l’article 83 du RGPD.
95. Pour évaluer la proportionnalité de l’amende, la formation restreinte a tenu compte de ce que la société s’est mise en conformité avec l’ensemble des manquements relevés et de ce que certains d’entre eux, en lien avec l’exercice des droits des personnes, ne revêtaient pas un caractère structurel. Elle relève en outre que la société a pleinement coopéré avec la CNIL.
96. La formation restreinte tient également compte, dans la détermination du montant de l’amende prononcée, de la situation financière de la société. À cet égard, la société fait état d’une baisse de son chiffre d’affaires en 2020 et 2021 par rapport à 2019. En effet, le chiffre d’affaires de la société s’élevait à […] en 2019, […] en 2020 et […] en 2021. 
97. Enfin, la formation restreinte prend acte de la décision du CEPD […] concernant le litige relatif au projet de décision de l’autorité de contrôle française concernant […] en application de l’article 65, paragraphe 1, point a), du RGPD. En particulier, elle note que le CEPD a enjoint la CNIL de réexaminer les éléments sur lesquels elle s’est fondée pour calculer le montant de l’amende, afin de s’assurer que ladite amende satisfait au critère d’effet dissuasif prévu par l’article 83, paragraphe 1, du RGPD.
98. Dès lors, au regard du contexte économique causé par la crise sanitaire de la Covid-19, de ses conséquences sur la situation financière de la société et des critères pertinents de l’article 83, paragraphe 2, du RGPD évoqués ci-avant, la formation restreinte considère que le prononcé d’une amende administrative de 600 000 euros apparaît justifié. 
99. La formation restreinte estime enfin que la publication de sa décision de sanction pour une durée de deux ans se justifie au regard de la pluralité des manquements relevés, de leur gravité et du nombre de personnes concernées.
100. La formation restreinte précise que l’amende administrative de 600 000 euros à l’encontre de la société […] s’applique à hauteur de 100 000 euros pour le manquement aux dispositions de l’article L. 34-5 du CPCE et à hauteur de 500 000 euros pour les manquements de la société aux dispositions des articles 12.1, 12.3, 13, 15.1, 21.2 et 32 du Règlement. 
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide de :
• prononcer à l’encontre de la société […] une amende administrative d’un montant de 600 000 euros pour l’ensemble des manquements constatés, qui se décompose comme suit : 
o 100 000 (cent mille) euros au titre du manquement de la société à l’article L. 34-5 du Code des postes et des communications électroniques ; 
o 500 000 (cinq cent mille) euros au titre des manquements de la société aux articles 12.1, 12.3, 13, 15.1, 21.2 et 32 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016. 
• rendre publique, sur le site de la CNIL et sur le site de Légifrance, sa délibération, qui n’identifiera plus nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.
 Le président
 Alexandre LINDEN
Cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’État dans un délai de deux mois à compter de sa notification.
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l'intérieur d'une demande d'avis concernant un projet de décret relatif à l'extension des destinataires d'images de vidéoprotection ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (RGPD) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés,
Après avoir entendu le rapport de Mme Sophie LAMBREMON, commissaire, et les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Emet l'avis suivant :
La Commission nationale de l'informatique et des libertés (ci-après la Commission ) a été saisie par le ministère de l'intérieur d'un projet de décret relatif à l'extension des destinataires d'images de vidéoprotection.
Ce projet de décret porte application des articles L. 252-2, L. 252-3 et L. 255-1 du code de la sécurité intérieure (CSI), tels que modifiés par l'article 40 de la loi n° 2021-646 du 25 mai 2021 pour une sécurité globale préservant les libertés, afin d'autoriser les policiers municipaux ainsi que certains agents de la Ville de Paris mentionnés aux articles L. 531-1, L. 532-1 et L. 533-1 du même code à accéder aux images de vidéoprotection.
L'article L. 255-1 du CSI prévoit qu'un décret en Conseil d'Etat, pris après avis de la Commission nationale de la vidéoprotection et de la Commission nationale de l'informatique et des libertés, fixe les modalités d'application de ces dispositions. Ce décret doit notamment fixer les conditions dans lesquelles les agents mentionnés au second alinéa de l'article L. 252-2 et à l'article L. 252-3 sont habilités à accéder aux enregistrements pour les seuls besoins de leur mission, ainsi que les exigences de formation et de mise à jour régulière des connaissances en matière de protection des données à caractère personnel auxquelles ils doivent satisfaire pour être habilités. Il doit également préciser les mesures techniques mises en œuvre pour garantir la sécurité des enregistrements et assurer la traçabilité des accès aux images.
La Commission rappelle que, dans sa délibération n° 2021-011 du 26 janvier 2021 portant avis sur une proposition de loi relative à la sécurité globale, elle avait relevé que l'évolution de ces dispositions conduit à ce que les images collectées au moyen de dispositifs de vidéoprotection puissent être visionnées par un nombre important de personnes. Elle avait rappelé qu'il importe, d'une part, que des garanties fortes soient mises en œuvre pour que seul le personnel dûment habilité puisse effectivement visionner ces images, dans le strict besoin de leur mission et que, d'autre part, des mesures de sécurité adéquates soient mises en œuvre, notamment en matière de traçabilité des accès.
Par ailleurs, l'article L. 255-1 du CSI indique que le projet de décret, pris après de la Commission, prévoit les conditions dans lesquelles le public est informé de l'existence d'un dispositif de vidéoprotection ainsi que de l'identité de l'autorité ou de la personne responsable.
La Commission relève que les modalités d'information des personnes ne sont pas indiquées dans le projet de décret car, selon le ministère, elles sont précisées à l'article R. 253-3 du CSI, tel que modifié par le décret n° 2015-489 du 29 avril 2015.
Le ministère n'entend pas à ce stade modifier les modalités d'information des personnes concernées qui figurent à l'article R. 253-3 du CSI résultant du décret n° 2015-489 du 29 avril 2015. La Commission observe toutefois que, s'agissant des mentions d'information devant figurer sur les affiches ou panonceaux, les dispositions de ce texte, dont elle n'a pas été saisie pour avis, ne sont plus conformes à la réglementation relative à la protection des données à caractère personnel.
La Commission rappelle plus largement la nécessité de prévoir rapidement un cadre juridique cohérent, complet et suffisamment protecteur des droits des personnes en matière de vidéoprotection. En effet, de nombreuses dispositions du CSI, qui constituent le cadre juridique général en la matière, sont obsolètes depuis l'évolution de la réglementation en matière de protection des données à caractère personnel intervenue en 2018. Elles ne permettent donc pas aux responsables de traitement de connaître l'état réel de leurs obligations en la matière (par exemple, la nécessité de réaliser une analyse d'impact relative à la protection des données), ni aux personnes concernées de savoir de quelle manière exercer leurs droits.
Sur les destinataires du traitement