AgentPublic/cnil huggingface dataset:
40. Sur ce point, la formation restreinte rappelle d’abord que, bien que pouvant être une modalité utile, permettre aux clients et prospects d’être mis en relation avec le délégué à la protection des données via un formulaire de contact dédié aux " désabonnement et désinscription " n’est pas une mesure de nature à permettre le respect les dispositions de l’article 13 du RGPD, qui impose de fournir les " coordonnées " du délégué à la protection des données. De plus, la formation restreinte relève qu’à la date du contrôle sur place du 13 novembre 2018, ce formulaire était accessible depuis une rubrique intitulée " Service Client – contactez-nous " dont il est précisé qu’elle permettait de poser des " questions à propos d’une commande ou des informations sur [les] produits [de la société] ". Dans ces conditions, les personnes concernées ne pouvaient pas spontanément s’attendre à être mises en relation avec le délégué à la protection des données pour exercer leurs droits au titre du RGPD. En tout état de cause, les personnes pouvaient souhaiter utiliser les coordonnées du délégué à la protection des données pour adresser des demandes d’exercice des droits qui ne portaient pas uniquement sur des demandes de désabonnement et de désinscription, par exemple une demande de droit d’accès.
41. Dans ces conditions, la formation restreinte considère que la société n’a pas respecté les dispositions de l’article 13 du RGPD.
42. La formation restreinte relève néanmoins que la société a adopté des mesures dans le cadre de la procédure de sanction et a justifié avoir mis en conformité sa politique de protection des données qui contient à présent les coordonnées du délégué à la protection des données.
43. En deuxième lieu, s’agissant des durées de conservation, la société a indiqué avoir informé les services de la CNIL par courriel du 5 février 2019 que sa politique de conservation des données avait été mise à disposition des personnes concernées sur son site [...] à la suite du contrôle sur place du 13 novembre 2018.
44. A cet égard, la formation restreinte relève d’abord que les constats effectués lors du contrôle du 13 novembre 2018 attestent de l’absence d’information sur les durées de conservation dans les " mentions légales et données personnelles ", les " conditions générales de vente " ou tout autre document disponible sur le site internet de la société. La formation restreinte note ensuite que, si lors du contrôle en ligne du 6 février 2020, la délégation a bien constaté la présence d’un lien renvoyant vers une politique de conservation des données personnelles, cette dernière a également constaté que ce lien était inactif. Dès lors, ladite politique était inaccessible aux utilisateurs, celle-ci n’étant pas disponible par ailleurs sur le site.
45. Dans ces conditions, la formation restreinte considère que le manquement à l’article 13 du RGPD est bien constitué sur ce point dès lors que les données à caractère personnel sont collectées auprès de la personne concernée et que l’information sur les durées de conservation figure parmi celles devant être communiquées dans ce cas, en ce qu’elle permet de garantir un traitement équitable et transparent des données à caractère personnel concernées. Ainsi, par exemple, une information sur les durées de conservation permet aux personnes concernées de savoir pendant combien de temps les données sont conservées par le responsable de traitement et, par suite, pendant combien de temps elles peuvent exercer leur droit d’accès.
46. La formation restreinte relève néanmoins que, dans le cadre de la procédure de sanction, la société a justifié avoir mis en conformité sa politique de protection des données qui contient à présent les mentions relatives aux durées de conservation des données traitées.
47. En troisième lieu, s’agissant de l’information portant sur les bases légales, la société n’a pas contesté que jusqu’au 30 octobre 2020, aucune information relative aux bases légales n’était mise à disposition des personnes concernées dans le document intitulé " mentions légales et données personnelles ". Elle a cependant soutenu " qu’il ne peut lui être reproché une absence totale d’information relative aux bases juridiques dans la mesure où certaines d’entre elles étaient disponibles à travers différents supports ", par exemple dans les conditions générales de vente, et qu’un " travail de compilation était en cours au moment des contrôles ".
48. La formation restreinte relève que jusqu’au 30 octobre 2020, les personnes concernées n’étaient pas informées de l’ensemble des bases légales des traitements mis en œuvre. En tout état de cause, si certaines informations étaient disponibles dans d’autres documents, la formation restreinte relève qu’elles n’étaient pas exhaustives, et en outre que l’accessibilité et la fourniture de l’information au moment de la collecte des données de la personne concernée sont une condition exigée en application du considérant 61 et des articles 12 et 13 du RGPD.
49. Au vu de ce qui précède, la formation restreinte considère que la société ne respectait pas les dispositions de l’article 13 du RGPD.
50. La formation restreinte relève néanmoins que, au cours de la procédure de sanction, la société a justifié avoir mis en conformité sa politique de protection des données qui contient à présent une information complète portant sur les bases légales.
51. En quatrième lieu, s’agissant de l’information portant sur les droits des personnes concernées, la société a soutenu que " l’absence de mention de certains droits Informatique et libertés sur le site [...] résulte d’un simple oubli et ne constitue en aucun cas une volonté de la part de [...] d’empêcher l’exercice de certains droits par les personnes concernées ".
52. La formation restreinte relève néanmoins que, lors des vérifications effectuées le 13 novembre 2018 et le 6 février 2020, la délégation de contrôle a constaté que la société ne portait pas à la connaissance des personnes concernées leurs droits à la limitation du traitement, à la portabilité des données ainsi que celui d’introduire une réclamation auprès d’une autorité de contrôle.
53. Dans ces conditions, la formation restreinte considère que le manquement à l’article 13 du RGPD est constitué sur ce point dès lors que les données à caractère personnel sont collectées auprès de la personne concernée et que les informations manquantes en l’espèce figurent parmi celles devant être communiquées dans ce cas. En effet, l’information des personnes sur l’ensemble de leurs droits contribue à garantir un traitement équitable et transparent, en ce qu’elle facilite leur exercice et contribue ainsi à assurer la maitrise des personnes concernées sur le traitement de leurs données.
54. La formation restreinte relève néanmoins que la société a justifié avoir mis en conformité sa politique de protection des données qui contient à présent une information complète sur les droits des personnes concernées. En outre, la société indique avoir mis en ligne une page destinée à la description des droits dont les personnes bénéficient au titre du RGPD, accessible via un lien présent en pied de chaque page de son site.
55. Dès lors, la formation restreinte considère que les faits précités constituent un manquement à l’article 13 du RGPD, mais que la société s’est mise en conformité à la date de clôture de l’instruction sur l’ensemble des points soulevés.
C. Sur le manquement relatif à l’obligation de respecter la demande d’effacement des données à caractère personnel en application de l’article 17 du RGPD
56. En application de l’article 17 du RGPD, la personne concernée a le droit " d’obtenir du responsable de traitement l’effacement, dans les meilleurs délais, de données à caractère personnel la concernant " et le responsable de traitement a l’obligation d’effacer ces données à caractère personnel dans les meilleurs délais, lorsque l’un des motifs suivants s’applique :
a) les données personnelles ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées d’une autre manière ;
b) la personne concernée retire le consentement sur lequel est fondé le traitement, conformément à l’article 6, paragraphe 1, point a) (…) et il n’existe pas d’autre fondement juridique au traitement ;
c) la personne concernée s’oppose au traitement en vertu de l’article 21, paragraphe 1, et il n’existe pas de motif légitime impérieux pour le traitement, ou la personne concernée s’oppose au traitement en vertu de l’article 21, paragraphe 2 (…) ".
57. Lors du contrôle du 13 novembre 2018, la délégation de contrôle a été informée que lorsqu’une personne demande l’effacement de son compte, la société ne supprime pas les données à caractère personnel mais procède uniquement à la désactivation du compte en question, empêchant la personne de s’y connecter et bloquant l’envoi de prospection commerciale. La délégation a ainsi constaté la présence en base des données à caractère personnel d’un client de la société (nom, prénom et adresse électronique) qui avait précédemment formulé une demande d’effacement par courriel. L’accès à son compte avait été simplement désactivé.
58. La formation restreinte retient qu’il est ainsi établi que la société ne donnait pas pleinement suite aux demandes d’effacement.
59. La formation restreinte considère que si, après une demande d’effacement, certaines données à caractère personnel des clients peuvent être conservées en archivage intermédiaire, notamment au titre des obligations légales ou à des fins probatoires ou lorsque la société dispose d’un motif légitime impérieux, celles non nécessaires dans le cadre du respect de ces autres obligations ou finalités doivent être supprimées après l’exercice de ce droit dès lors que les conditions posées par l’article 17 du RGPD sont remplies. Elle relève à cet égard que tel était à tout le moins le cas pour le traitement de l’adresse électronique utilisée à des fins de prospection commerciale, dès lors que ce traitement repose sur le consentement et que le droit à l’effacement est ouvert en cas de retrait de consentement, et qu’il ne ressort pas des éléments de la procédure que la conservation des données en question était légitime sur un autre fondement.
60. Au vu de ce qui précède, la formation restreinte considère que le manquement à l’article 17 du RGPD est constitué.
61. Elle relève néanmoins que, dans le cadre de la procédure de sanction, la société a justifié avoir pris des mesures de mise en conformité avec l’article 17 du RGPD.
62. La société a d’abord justifié avoir procédé à l’effacement des données du client qui avait exercé son droit à l’effacement. Elle a ensuite précisé avoir pris différentes mesures pour améliorer le traitement des demandes d’exercice des droits, en centralisant la réception des demandes, en mettant en ligne un formulaire d’exercice des droits - téléchargeable en ligne via un lien direct inséré sur la page d’information dédiée aux droits des personnes - et en créant l’adresse électronique " dpo@[...] ", dédiée aux questions relatives aux données à caractère personnel et gérée par le délégué à la protection des données de la société. De plus, la société a indiqué avoir mis en place un document contenant des modèles de lettre de réponse aux demandes d’exercice des droits, dont un courrier de réponse aux demandes d’exercice du droit à l’effacement. En dernier lieu, la société s’est engagée à mettre en place un traçage des demandes d’exercice des droits dans un outil spécifique.
D. Sur le manquement relatif à l’obligation d’assurer la sécurité des données à caractère personnel en application de l’article 32 du RGPD
63. Aux termes de l’article 32 du RGPD " 1. Compte tenu de l'état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, y compris entre autres, selon les besoins :
a) la pseudonymisation et le chiffrement des données à caractère personnel ;
b) des moyens permettant de garantir la confidentialité, l'intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement ;
c) des moyens permettant de rétablir la disponibilité des données à caractère personnel et l'accès à celles-ci dans des délais appropriés en cas d'incident physique ou technique ;
d) une procédure visant à tester, à analyser et à évaluer régulièrement l'efficacité des mesures techniques et organisationnelles pour assurer la sécurité du traitement […]".
64. En premier lieu, la rapporteure relève tout d’abord qu’au moment du contrôle du 13 novembre 2018, l’authentification lors de la création d’un compte sur le site [...] reposait sur un mot de passe composé uniquement de six caractères numériques, de type " 123456 ". La rapporteure relève ensuite que, s’agissant des salariés de la société, le mot de passe pour accéder au logiciel de gestion de la relation client […] était composé de huit caractères, contenant au moins un chiffre et une lettre. La rapporteure relève enfin que l’authentification des salariés aux bases de données était insuffisamment sécurisée en raison de la conservation des mots de passe permettant d’y accéder, en clair, dans un fichier texte contenu dans un ordinateur de la société.
65. En défense, la société ne conteste pas ces faits, mais soutient que l’obligation de sécurité résultant de l’article 32 du RGPD était une obligation de moyen et non de résultat, de sorte que l’obligation de sécurité du responsable du traitement consiste à mettre en œuvre les mesures permettant de réduire les risques à un niveau acceptable, sans qu’il soit obligatoire, ni même possible, d’obtenir un niveau de sécurité les rendant nuls. La société a également souligné qu’elle n’a jamais subi de violation de données à caractère personnel.
66. La formation restreinte considère que l’absence de violation de données à caractère personnel ne suffit pas à démontrer l’absence de manquement pas plus qu’une violation de données ne suffit à caractériser en soi un manquement à l’article 32 du RGPD. Il appartient à la formation restreinte de vérifier que le responsable de traitement ou, le cas échéant, le sous-traitant, a mis en œuvre, en application de cet article, des mesures techniques et organisationnelles appropriées pour prévenir les risques de violations et de mésusage de ces données. Le caractère approprié des mesures s’apprécie en vérifiant que le mis en cause a proportionné ces mesures, en l’état des informations dont il pouvait disposer par des diligences raisonnables, à la gravité et à la probabilité des risques prévisibles, en fonction de la nature et du contexte du traitement de données, ainsi que du coût et de la complexité des mesures possibles.
67. La formation restreinte considère ensuite que la longueur et la complexité d’un mot de passe demeurent des critères élémentaires permettant d’apprécier la force de celui-ci. Elle relève à cet égard que la nécessité d’un mot de passe fort est également soulignée par l’Agence nationale de sécurité des systèmes d’information.
68. À titre d’éclairage, la formation restreinte rappelle que pour assurer un niveau de sécurité suffisant et satisfaire aux exigences de robustesse des mots de passe, lorsqu’une authentification repose uniquement sur un identifiant et un mot de passe, la CNIL recommande, dans sa délibération n° 2017-012 du 19 janvier 2017, que le mot de passe comporte au minimum douze caractères - contenant au moins une lettre majuscule, une lettre minuscule, un chiffre et un caractère spécial - ou alors comporte au moins huit caractères - contenant trois de ces quatre catégories de caractères - s’il est accompagné d’une mesure complémentaire comme, par exemple, la temporisation d’accès au compte après plusieurs échecs (suspension temporaire de l’accès dont la durée augmente à mesure des tentatives), la mise en place d’un mécanisme permettant de se prémunir contre les soumissions automatisées et intensives de tentatives (comme un " captcha ") et/ou le blocage du compte après plusieurs tentatives d’authentification infructueuses.
69. En l’espèce, la formation restreinte considère qu’au regard des règles peu exigeantes encadrant leur composition, la robustesse des mots de passe admis par la société était trop faible, conduisant à un risque de compromission des comptes associés et des données à caractère personnel qu’ils contiennent.
70. Enfin, la formation restreinte rappelle que le fait de stocker les mots de passe d’accès aux bases de données en clair dans un fichier texte contenu dans un ordinateur de la société n’est pas une solution de gestion sécurisée des mots de passe. En effet, une authentification reposant sur l’utilisation d’un mot de passe court ou simple peut conduire à des attaques par des tiers non autorisés, telles que des attaques " par force brute " qui consistent à tester successivement et de façon systématique de nombreux mots de passe et permettre, ainsi, une compromission des comptes associés et des données qu’ils contiennent.
71. Dans ces conditions, la formation restreinte considère que la politique de gestion des mots de passe de la société mise en cause n’était pas suffisamment robuste et contraignante pour garantir la sécurité des données, au sens de l’article 32 du RGPD.
72. Elle relève néanmoins que, dans le cadre de la procédure de sanction, la société a indiqué, s’agissant des comptes clients, qu’elle exige désormais un mot de passe robuste comprenant un minimum de douze caractères dont une majuscule, une minuscule, un caractère numérique et un caractère spécial, ce qui a été corroboré par une impression d’écran. S’agissant des salariés, la société a mis en œuvre un mot de passe robuste pour accéder au logiciel de gestion de la relation client […]. S’agissant du stockage des mots de passe d’accès aux bases de données dans un fichier en clair, elle a justifié avoir arrêté cette pratique et mis en place une solution sécurisée de gestion des mots de passe, en souscrivant à la solution […] qui garantit un stockage chiffré des mots de passe.
73. En deuxième lieu, la rapporteure relève que la fonction de hachage utilisée pour la conservation des mots de passe des salariés utilisateurs du site [...] était obsolète (MD5).
74. En défense, la société ne conteste pas ces faits, mais reprend le même argumentaire sur l’obligation de moyen.
75. La formation restreinte rappelle que le recours à la fonction de hachage MD5 par la société n’est plus considérée depuis 2004 comme à l’état de l’art et son utilisation en cryptographie ou en sécurité est proscrite. Ainsi, l’utilisation de cet algorithme permettrait à une personne ayant connaissance du mot de passe haché de déchiffrer celui-ci sans difficulté en un temps très court (par exemple, au moyen de sites internet librement accessibles qui permettent de retrouver la valeur correspondante au hash du mot de passe).
76. Dans ces conditions, eu égard aux risques encourus par les personnes rappelés ci-dessus, la formation restreinte considère que le système de hachage utilisé ne permettait pas de garantir la sécurité des données, au sens de l’article 32 du RGPD.
77. Elle relève néanmoins que, dans le cadre de la procédure de sanction, la société a justifié avoir mis en œuvre un système de hachage satisfaisant, en SHA256, de l’ensemble des mots de passe des utilisateurs.
78. En troisième lieu, la rapporteure note que les salariés de la société accédaient à une copie de la base de production de la société [...] par un compte commun à quatre salariés.
79. En défense, la société ne conteste pas ces faits, mais reprend le même argumentaire sur l’obligation de moyen.
80. La formation restreinte rappelle que l’attribution d’un identifiant unique par utilisateur et l’interdiction des comptes partagés figurent parmi les précautions indispensables afin de garantir une traçabilité effective des accès à une base de données. En l’espèce, le partage du compte permettant d’accéder à la copie de la base de données de production par quatre salariés ne permet pas de garantir une authentification correcte des utilisateurs et, par conséquent, une gestion effective des habilitations et une traçabilité correcte des accès. Une telle absence de traçabilité des accès ne permet ainsi pas d’identifier un accès frauduleux ou l’auteur d’une éventuelle détérioration ou d’une suppression des données à caractère personnel.
81. Dans ces conditions, la formation restreinte considère que l’utilisation d’un compte générique ne permet pas de garantir la sécurité des données, au sens de l’article 32 du RGPD.
82. Elle relève néanmoins que, dans le cadre de la procédure de sanction, la société a justifié avoir pris des mesures en mettant en place un système d’authentification par utilisateur accrédité.
E. Sur le manquement aux obligations relatives aux informations (cookies) stockées sur l’équipement terminal de communications électroniques des utilisateurs en application de l’article 82 de la loi " Informatique et Libertés "
83. L’article 82 de la loi " Informatique et Libertés " impose que les utilisateurs soient informés et que leur consentement soit recueilli avant toute opération d’inscription ou d’accès à des informations déjà stockées dans leur équipement. Tout dépôt de cookies ou autres traceurs doit donc être précédé de l’information et du consentement des personnes. Cette exigence ne s’applique pas aux cookies ayant " pour finalité exclusive de permettre ou faciliter la communication par voie électronique " ou étant " strictement nécessaire à la fourniture d'un service de communication en ligne à la demande expresse de l'utilisateur ".
84. La rapporteure considère que la société ne respectait pas ces dispositions dès lors qu’il ressort des contrôles en ligne des 6 février 2020 et 13 janvier 2021 qu’en arrivant sur le site web [...] plusieurs cookies ne rentrant pas dans le champ des deux exceptions rappelées ci-avant étaient déposés sur le terminal de l’utilisateur dès son arrivée sur la page d’accueil du site, et avant toute action de sa part.
85. La société ne conteste pas ces faits.
86. La formation restreinte relève en effet qu’il ressort des constatations effectuées lors du contrôle en ligne du 6 février 2020 que le dépôt de trente-deux cookies était automatique dès l’arrivée sur la page d’accueil du site, et avant tout action de l’utilisateur. En réponse à une demande de complément des services de la CNIL, la société a indiqué le 4 mars 2020 que les finalités des cookies déposés consistent à avoir " une meilleure connaissance des clients ", un " meilleur ciblage publicitaire " et à personnaliser " l’offre et des opérations promotionnelles ".
87. La formation restreinte relève également qu’alors même que la société avait affirmé, dans ses observations en réponse du 16 décembre 2020, avoir " cessé, depuis le 10 novembre 2020, de déposer des cookies soumis à consentement de manière automatique " lors de l’arrivée des utilisateurs sur son site, la délégation a constaté, lors du contrôle en ligne du 13 janvier 2021, le dépôt de treize cookies dès son arrivée sur le site. Par courriel du 26 janvier 2021, la société a transmis les pièces complémentaires sollicitées lors du contrôle et a notamment confirmé que, parmi lesdits cookies déposés, certains avaient une finalité publicitaire.