AgentPublic/cnil huggingface dataset:
88. Dès lors, les cookies déposés n’ayant pas pour finalité exclusive de permettre ou de faciliter la communication par voie électronique et n’étant pas strictement nécessaires à la fourniture du service, leur dépôt imposait à la société de recueillir préalablement le consentement des utilisateurs.
89. La formation restreinte considère, en conséquence, qu’un manquement à l’article 82 de la loi " Informatique et Libertés " est constitué.
90. La formation restreinte souligne néanmoins que la société a apporté d’importantes modifications sur son site web durant la procédure de sanction et que les cookies pour lesquels le consentement des utilisateurs est requis ne sont plus déposés automatiquement dans le terminal de l’utilisateur à l’arrivée sur la page d’accueil du site depuis le 26 janvier 2021.
F. Sur le manquement relatif à l’obligation de recueillir le consentement de la personne concernée par une opération de prospection directe au moyen d’un courrier électronique en application de l’article L. 34-5 du CPCE
91. Aux termes de l’article L. 34-5 du CPCE : " Est interdite la prospection directe au moyen de système automatisé de communications électroniques au sens du 6° de l'article L. 32, d'un télécopieur ou de courriers électroniques utilisant les coordonnées d'une personne physique, abonné ou utilisateur, qui n'a pas exprimé préalablement son consentement à recevoir des prospections directes par ce moyen.
Pour l'application du présent article, on entend par consentement toute manifestation de volonté libre, spécifique et informée par laquelle une personne accepte que des données à caractère personnel la concernant soient utilisées à fin de prospection directe. […]
Toutefois, la prospection directe par courrier électronique est autorisée si les coordonnées du destinataire ont été recueillies auprès de lui, dans le respect des dispositions de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, à l'occasion d'une vente ou d'une prestation de services, si la prospection directe concerne des produits ou services analogues fournis par la même personne physique ou morale, et si le destinataire se voit offrir, de manière expresse et dénuée d'ambiguïté, la possibilité de s'opposer, sans frais, hormis ceux liés à la transmission du refus, et de manière simple, à l'utilisation de ses coordonnées au moment où elles sont recueillies et chaque fois qu'un courrier électronique de prospection lui est adressé au cas où il n'aurait pas refusé d'emblée une telle exploitation ".
92. La rapporteure relève qu’à l’occasion des contrôles effectués les 13 novembre 2018 et 6 février 2020, la délégation a constaté que, lors de la création d’un compte sans acte d’achat sur le site web de la société, aucun procédé visant à recueillir le consentement à la collecte et au traitement des données à caractère personnel à des fins de prospection commerciale par courriers électroniques n’était mis en œuvre.
93. En défense, la société soutient qu’en raison des mentions d’information présentes sur le site, les personnes ayant créé un compte ne pouvaient ignorer que la société leur adresserait de manière régulière des communications commerciales par courrier électronique. Elle rappelle également que pour valider une inscription lors de la création d’un compte sur le site de la société, la personne doit accepter les conditions générales de vente de la société qui prévoient que ses données à caractère personnel seront utilisées par la société afin de l’informer par courriers électroniques des ventes à venir et des offres spéciales.
94. La formation restreinte considère que la création d’un compte ne préjuge pas de la commande éventuelle de produits auprès de la société [...]. La formation restreinte considère qu’en l’absence d’achat, la société ne peut utilement invoquer le bénéfice de l’exception créée par l’article L. 34-5 du CPCE permettant la prospection sans consentement préalable lorsque les coordonnées du destinataire ont été recueillies auprès de lui à l'occasion d'une vente ou d'une prestation de services si la prospection directe concerne des produits ou services analogues fournis par la même personne physique ou morale.
95. Dès lors, la formation restreinte considère qu’il appartenait à la société de recueillir le consentement préalable, libre, spécifique et informé des personnes créant un compte sur le site web de la société sans avoir procédé à un achat, à recevoir des messages de prospection directe par courriers électroniques, conformément à l’alinéa 1 de l’article L. 34-5 du CPCE.
96. Dans ces conditions, la formation restreinte considère que le manquement à l’article L. 34-5 du CPCE est constitué.
Dans le cadre de la procédure, la société a justifié avoir inséré sur le formulaire de création de compte en ligne une case à cocher permettant la prise en compte d’un consentement spécifique et univoque pour les personnes souhaitant créer à l’avenir un compte.
97. Pour les personnes qui étaient déjà titulaires d’un compte sur le site [...], la société indique qu’elle envisage d’adresser des courriers électroniques de prospection aux seules personnes ayant déjà effectué un achat sur son site. Elle indique en outre avoir adressé des courriels afin d’obtenir l’accord de […] prospects n’ayant pas encore donné leur consentement à recevoir de la prospection par voie électronique ni effectué d’achat à la suite de la création de leur compte.
98. Lors de la séance de la formation restreinte, la société a en outre précisé qu’afin de se mettre en conformité avec les dispositions de l’article L. 34-5 du CPCE, elle comptait adresser à chaque prospect n’ayant pas encore donné son consentement cinq courriels visant à obtenir leur accord à recevoir de la prospection par voie électronique. Ces cinq courriels seraient envoyés au cours d’une période de 100 jours à compter de la date de dernière activité du prospect. La société a indiqué qu’au bout de 100 jours d’inactivité de la part du prospect et sans consentement de ce dernier à recevoir de la prospection commerciale à la suite des cinq courriels qu’elle lui aura adressés, elle cessera de le prospecter.
99. La formation restreinte considère que le fait de solliciter les personnes en question pour leur demander si elles souhaitent recevoir des courriels de prospection constitue en soi un traitement qui ne saurait reposer, en l’espèce, que sur un éventuel intérêt légitime de la société. Il résulte des pièces du dossier que les prospects, en choisissant de créer un compte sur le site de la société pour avoir accès à ses offres, ont manifesté un certain intérêt pour les services proposés par cette dernière et que, dès lors, ils peuvent raisonnablement s’attendre à ce que la société les contacte. Elle considère cependant que l’envoi aux prospects de cinq courriels, a fortiori au cours d’une période de 100 jours, excède le nombre de courriels auxquels pourraient raisonnablement s’attendre ces derniers.
100. Dans ces conditions, la formation restreinte considère que la société ne s’est pas complètement mise en conformité à la date de clôture de l’instruction.
III. Sur les mesures correctrices et leur publicité
101. Aux termes du III de l’article 20 de la loi du 6 janvier 1978 modifiée :
102. En premier lieu, sur le principe du prononcé d’une amende, la société soutient qu’une telle mesure n’est pas justifiée. Elle souligne notamment qu’elle n’a jamais été condamnée par la formation restreinte, que les manquements précités ne constituent en aucun cas une violation délibérée du RGPD, que les personnes concernées n’ont pas subi de dommage, qu’aucune donnée particulière visée aux articles 9 et 10 du RGPD n’est concernée, qu’elle a coopéré de bonne foi avec la CNIL tout au long de la procédure et qu’elle a pris des mesures de mise en conformité.
103. La formation restreinte rappelle qu’elle doit tenir compte, pour le prononcé d’une amende administrative, des critères précisés à l’article 83 du RGPD, tels que la nature, la gravité et la durée de la violation, les mesures prises par le responsable du traitement pour atténuer le dommage subi par les personnes concernées, le degré de coopération avec l’autorité de contrôle et les catégories de données à caractère personnel concernées par la violation.
104. La formation restreinte considère d’abord que la société a fait preuve de négligence grave s’agissant de principes fondamentaux du RGPD puisque six manquements sont constitués, portant notamment sur le principe de limitation de la durée de conservation des données, l’obligation d’informer les personnes concernées des traitements de leurs données à caractère personnel et celle de respecter leurs droits.
105. La formation restreinte relève ensuite que plusieurs manquements constatés ont concerné un nombre important de personnes, à savoir […] utilisateurs en France, […] en Espagne, […] en Italie et […] au Portugal.
106. Enfin, la formation restreinte relève que les mesures de mise en conformité mises en place à la suite de la notification du rapport de sanction ne concernent pas tous les manquements et n’exonèrent pas la société de sa responsabilité pour le passé, notamment au vu des manquements constatés.,
107. En conséquence, la formation restreinte considère qu’il y a lieu de prononcer une amende administrative au regard des manquements aux articles 5-1-e), 13, 17 et 32 du RGPD, 82 de la loi " Informatique et Libertés " et L. 34-5 du CPCE.
108. En deuxième lieu, s’agissant du montant de l’amende concernant les manquements au RGPD, la formation restreinte rappelle que le paragraphe 3 de l’article 83 du Règlement prévoit qu’en cas de violations multiples, comme c’est le cas en l’espèce, le montant total de l’amende ne peut excéder le montant fixé pour la violation la plus grave. Dans la mesure où il est reproché à la société un manquement aux articles 5-1-e), 13, 17 et 32 du Règlement, le montant maximum de l’amende pouvant être retenu s’élève à 20 millions d’euros ou 4% du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu.
109. S’agissant du montant de l’amende relative au manquement à l’article 82 de la loi " Informatique et Libertés " et à l’article L.34-5 du CPCE, la formation restreinte rappelle qu’en ce qui concerne les manquements à des dispositions trouvant leur origine dans d’autres textes que le RGPD, comme c’est le cas de l’article L.34-5 du CPCE qui transpose en droit interne la directive " ePrivacy ", l’article 20 paragraphe III de la loi " Informatique et Libertés " lui donne compétence pour prononcer diverses sanctions, notamment une amende administrative dont le montant maximal peut être équivalant à 2 % du chiffre d'affaires annuel mondial total de l’exercice précédent réalisé par le responsable de traitement. En outre, la détermination du montant de cette amende s’apprécie également au regard des critères précisés par l’article 83 du RGPD.
110. La formation restreinte rappelle également que les amendes administratives doivent être dissuasives mais proportionnées. Elle considère en particulier que l’activité de la société et sa situation financière doivent être prises en compte pour la détermination de la sanction et notamment, en cas d’amende administrative, de son montant. Elle relève à ce titre que la société fait état d’un chiffre d’affaires de 2018 à 2020 s’établissant à environ […] euros puis à environ […] euros et enfin à environ […] euros pour un résultat net respectivement de […] euros, puis de […] euros et enfin de […] euros. Elle en déduit que le montant de l’amende proposé par la rapporteure est loin d’atteindre le montant maximal de la sanction pécuniaire prévu par le RGPD puisqu’il représente au maximum […] % du chiffre d’affaires de la société. Au vu de ces éléments, la formation restreinte considère que le prononcé d’une amende de 500 000 euros apparaît justifié, soit 300 000 euros pour les manquements aux articles 5-1-e), 13, 17 et 32 du RGPD et 200 000 euros pour les manquements à l’article 82 de la loi " Informatique et Libertés " et l’article L. 34-5 du CPCE.
111. En troisième lieu, une injonction de mettre en conformité le traitement avec les dispositions des articles 5-1-e) du RGPD et L. 34-5 du CPCE a été proposée par la rapporteure lors de la notification du rapport.
112. La société soutient que les actions qu’elle a mises en œuvre s’agissant de l’ensemble des manquements relevés doivent conduire à ne pas donner suite à la proposition d’injonctions de la rapporteure.
113. S’agissant du manquement à l’obligation de définir et de respecter une durée de conservation des données à caractère personnel proportionnée à la finalité du traitement en application de l’article 5-1-e) du RGPD, la société indique avoir mis en place une procédure interne permettant d’archiver puis d’anonymiser les données.
114. La formation restreinte considère cependant que la société n’avait pas fourni, à la date de la clôture de l’instruction, d’éléments lui permettant d’attester d’une mise en conformité sur ce point. Elle considère en tout état de cause que les éléments produits lors de la séance ne sont pas suffisants pour se prononcer à ce stade sur sa mise en conformité éventuelle à l’article 5-1-e) du RGPD.
115. S’agissant du manquement relatif à l’obligation de recueillir le consentement de la personne concernée par une opération de prospection directe au moyen d’un système automatisé de communications électroniques en application de l’article L. 34-5 du CPCE, la formation restreinte considère que la société a pris les mesures satisfaisantes pour recueillir à présent le consentement des personnes lors de la création d’un compte sur le site web [...]. La formation restreinte relève également que la société s’est engagée, dans le cadre de la procédure, à ne plus procéder à l’envoi de messages de prospection directe par courriers électroniques à des prospects sans leur consentement préalable. Elle considère cependant qu’elle n’a pas démontré sa conformité complète à l’article L. 34-5 du CPCE dans la mesure où elle entend solliciter l’accord des personnes ayant créé un compte par le passé jusqu’à cinq reprises. En conséquence, la formation restreinte considère qu’il y a lieu de prononcer une injonction sur ce point.
116. En quatrième lieu, la formation restreinte considère que la publicité de la sanction se justifie au regard de la pluralité des manquements relevés, de leur persistance, de leur gravité et du nombre de personnes concernées.
 
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide de :
• prononcer à l’encontre de la société [...] une amende administrative d’un montant de 500 000 (cinq cent mille) euros, qui se décompose comme suit :
o 300 000 (trois cent mille) euros pour les manquements aux articles 5-1-e), 13, 17 et 32 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (ci-après " le RGPD ") ;
o 200 000 (deux cent mille) euros pour les manquements à l’article 82 de la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée et à l’article L. 34-5 du code des postes et des communications électroniques (ci-après le " CPCE ") ;
• prononcer à l’encontre de la société [...] une injonction de mettre en conformité les traitements avec les obligations résultant des articles et 5-1-e) du RGPD et L. 34-5 du CPCE, et en particulier :
o s’agissant du manquement au principe de limitation de la durée de conservation des données à caractère personnel, mettre en œuvre une politique de durée de conservation des données à caractère personnel qui n’excède pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées, et notamment :
 cesser de conserver les données à caractère personnel des anciens clients du site web de la société à l’issue de la période d’inactivité fixée, procéder à la purge de telles données conservées par la société jusqu’à la date de la délibération de la formation restreinte et justifier de la suppression de ces données à caractère personnel au-delà d’une période d’inactivité définie, dont il appartiendra à la société de justifier ;
 justifier d’une procédure d’archivage intermédiaire des données à caractère personnel des clients, mise en place après avoir opéré un tri des données pertinentes à archiver et une suppression des données non pertinentes, ainsi que du point de départ de cet archivage (par exemple, s’agissant des factures archivées à des fins comptables) ;
o s’agissant du manquement à l’obligation de recueillir le consentement de la personne concernée par une opération de prospection directe au moyen d’un système automatisé de communications électroniques : cesser de prospecter les personnes non clientes n’ayant pas exprimé leur consentement, sauf à obtenir leur consentement ;
• assortir l’injonction d’une astreinte de 500 (cinq cents) euros par jour de retard à l’issue d’un délai de trois mois suivant la notification de la présente délibération, les justificatifs de la mise en conformité devant être adressés à la formation restreinte dans ce délai ;
• rendre publique, sur le site de la CNIL et sur le site de Légifrance, sa délibération, qui n’identifiera plus nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.
 Le président
Alexandre LINDEN
La Commission nationale de l'informatique et des libertés,
Saisie par le ministère de la cohésion des territoires et des relations avec les collectivités territoriales d’une demande d’avis sur les articles 40, 41 et 42 du projet de loi relatif à la différenciation, la décentralisation, la déconcentration et portant diverses mesures de simplification de l’action publique locale ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 8-I-4°-a) ;
Après avoir entendu le rapport de Mme Sophie LAMBREMON et M. Alexandre LINDEN, commissaires, et les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement.
Emet l’avis suivant :
La Commission a été saisie, le 4 mars 2021, sur le fondement de l’article 8‑I‑4° a) de la loi du 6 janvier 1978 modifiée, des articles 40, 41 et 42 du projet de loi relatif à la différenciation, la décentralisation, la déconcentration et portant diverses mesures de simplification de l’action publique locale (ci-après le projet de loi 4D ).
Sur l’article 40 relatif au partage de données des usagers entre administrations
La Commission s’est déjà prononcée à plusieurs reprises sur les modalités d’échange de données entre administrations dans le cadre du dispositif Dites-le nous une fois (DLNUF). Elle a de manière constante estimé que ces échanges de données, qui font l’objet d’un encadrement par le code des relations entre le public et l’administration (CRPA), participent à la simplification des formalités administratives des usagers lorsqu’ils ont pour finalité de dispenser les usagers, personnes physiques ou morales, de fournir les mêmes justificatifs plusieurs fois.
Depuis sa création, le dispositif DLNUF repose sur trois caractéristiques essentielles qui sont :
la réalisation d’une démarche à l’initiative de l’usager ;
la limitation des données échangées à celles strictement utiles à la démarche initiée par l’usager ;
la possibilité, pour les seules administrations agissant dans le cadre de leurs missions légales et régulièrement habilitées à connaître de ces données, de bénéficier de ces échanges.
De manière générale, la Commission rappelle que, si la simplification des démarches administratives et l’amélioration des relations entre le public et les administrations constituent des objectifs légitimes, la mise en œuvre d’échanges de données à caractère personnel dans ce cadre doit être limitée aux données strictement nécessaires et garantir le respect des droits des personnes ainsi que la sécurité et la confidentialité de leurs données à caractère personnel. Elle considère qu’il faut distinguer les échanges de données réalisés aux fins de répondre aux demandes de l’usager qui ne posent pas de difficulté de principe dès lors que l’atteinte à la vie privée apparaît faible, et ceux réalisés à des fins de police administrative, de surveillance ou de détection des fraudes, pour lesquels il convient d’avoir une vigilance particulière. La Commission relève que les échanges envisagés ne relèvent pas de cette dernière hypothèse. Dans tous les cas, les échanges doivent intervenir dans le strict respect de la règlementation relative à la protection des données et à la vie privée.
Elle rappelle ainsi l’importance d’assurer l’effectivité des droits des personnes concernées. A cet égard, la Commission relève que si les règles en vigueur en matière d’information préalable de l’usager, de droit d’accès et de rectification, et de limitation des échanges aux données strictement nécessaires au traitement concerné ne sont pas modifiées par le projet de loi, les droits à la limitation du traitement et d’opposition prévus par les articles 18 et 21 du RGPD ne sont pas mentionnés à l’alinéa 3 de l’article L. 114-8 du CRPA.
Si elle prend acte de ce que le ministère entend exclure l’exercice de ces droits, elle rappelle qu’une telle faculté doit répondre aux conditions prévues à l’article 23 du RGPD et à l’article 56 de la loi du 6 janvier 1978 modifiée. La Commission rappelle en particulier que l’exclusion des droits à la limitation du traitement et d’opposition doit être expressément prévue et qu’il convient d’assortir cette exclusion des garanties nécessaires. Dans ces conditions, la Commission estime que le projet de loi devra être complété sur ce point si le ministère entend effectivement faire application de l’article 23 du RGPD.
La Commission rappelle également l’importance de s’assurer que l’information des usagers soit complète et de qualité au regard des exigences posées par l’article 14 du RGPD. Elle estime en particulier que l’information délivrée devra ainsi indiquer les modalités alternatives pour effectuer une démarche sans bénéficier du dispositif Dites-le nous une fois en cas d’exercice du droit d’opposition de la personne.
Compte tenu de ce qui précède, la Commission formule les observations suivantes sur les modifications envisagées.
En premier lieu, le 1° de l’article 40 du projet de loi 4D prévoit de modifier l’article L. 113-12 du CRPA afin d’étendre la possibilité d’échange de données entre administrations à toute demande ou déclaration produite par un usager. Il en résulte que les procédures concernées ne seront plus fixées par une liste limitative dans un décret en Conseil d’Etat pris après avis de la Commission mais que par défaut, un partage de données sera instauré en cas de demande ou de déclaration de l’usager.