AgentPublic/cnil huggingface dataset:
L’article 40.5 du règlement général relatif à la protection des données (RGPD) prévoit que les associations et autres organismes représentatifs d’un secteur d’activité qui ont l'intention d'élaborer un code de conduite soumettent le projet de code à l'autorité de contrôle qui est compétente en vertu de l'article 55 du RGPD. L'autorité de contrôle rend un avis sur la question de savoir si le projet de code respecte le présent règlement et approuve ce projet de code si elle estime qu'il offre des garanties appropriées suffisantes.
L'article 40.7 du RGPD prévoit que lorsque le projet de code de conduite concerne des activités de traitement menées dans plusieurs Etats membres, l'autorité de contrôle compétente soumet le projet de code, avant approbation, au Comité européen de la protection des données (CEPD), conformément au mécanisme de contrôle de la cohérence .
Le 13 mai 2019, la Commission a été saisie par Cloud Infrastructure Service Providers Europe (CISPE) d’une demande d’approbation portant sur un projet de code conduite transnational et ce conformément aux dispositions de l’article 40.5 du RGPD.
Le 25 février 2021, la Commission a soumis le projet de code porté par CISPE à l’avis du CEPD. Le Comité a adopté un avis favorable relatif à ce projet le 19 mai 2021, qui a été notifié à la Commission le 20 mai 2021.
Le projet de code de conduite répond aux exigences de forme prévues par l’article 40.2 du RGPD. En effet, il démontre la représentativité du porteur du code et précise son champ d’application matériel ainsi que son champ d’application géographique. De plus, il identifie la CNIL comme autorité de contrôle compétente conformément aux dispositions de l’article 40.5 du RGPD. Enfin, il détaille les modalités de consultation des professionnels du secteur et développe une procédure de contrôle de la bonne application du code par les adhérents.
Le code de conduite précise les modalités d’application du RGPD et prend en compte les besoins des professionnels du secteur de l’informatique en nuage ( cloud ) en tant que fournisseurs de services d’infrastructure ( Infrastructure as a Service ou IaaS ), conformément aux dispositions de l’article 40.1 du RGPD.
Il donne également des exemples concrets facilitant l’application effective du RGPD par ses adhérents. Il rappelle en outre l’obligation pour les professionnels adhérents de se conformer aux exigences du code de conduite, qui sont juridiquement contraignantes. A cet effet, une matrice des exigences recensant les exigences à respecter est fournie par le code de conduite.
Le code de conduite prévoit un processus d’adhésion divisé en trois étapes de contrôle a priori, a posteriori et ad hoc par l’organisme de contrôle.
Le code de conduite comprend un mécanisme permettant à l’organisme de contrôle de veiller à la bonne application du code par les professionnels adhérents, conformément aux dispositions de l’article 40.4 du RGPD. Il inclut également une matrice de mesures coercitives dont la mise en œuvre incombe à l’organisme de contrôle.
Le code de conduite identifie plusieurs organismes qui seront chargés de cette mission de contrôle après avoir obtenu un agrément de la CNIL et ce conformément aux dispositions de l’article 41.1 du RGPD. Le code de conduite sera opérationnel dès que l’un de ces organismes de contrôle sera agréé par la Commission.
Le code de conduite comprend une procédure permettant de le mettre à jour, conformément aux dispositions de l’article 40.2 du RGPD.
Le code de conduite respecte le RGPD et contribue à sa bonne application, conformément aux dispositions de l’article 40.1 de ce texte. Il apporte ainsi une réelle valeur ajoutée aux futurs adhérents dans leur démarche de redevabilité.
Décide : 
Le code de conduite européen des fournisseurs d'infrastructures cloud relatif à la protection des données porté par Cloud Infrastructure Service Providers Europe (CISPE) et annexé à la présente délibération, est approuvé.
En cas de modification du code, la Commission, après en avoir été informée par le porteur du code, évaluera si une nouvelle procédure d’approbation est nécessaire, conformément aux dispositions de l’article 40.5 du RGPD.
La présente décision sera publiée sur Légifrance.
La Présidente
Marie Laure DENIS
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de Monsieur Alexandre LINDEN, président, Monsieur Philippe-Pierre CABOURDIN, vice-président, Madame Anne DEBET, Madame Christine MAUGÜE et Monsieur Bertrand du MARAIS, membres ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;
Vu la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques ;
Vu le code des postes et des communications électroniques ;
Vu la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;
Vu le décret no 2019-536 du 29 mai 2019 pris pour l'application de la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la décision n° 2018-238C du 27 septembre 2018 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements mis en œuvre par cet organisme ou pour le compte de la société [...] ;
Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte, en date du 19 décembre 2019 ;
Vu le rapport de Madame Valérie PEUGEOT, commissaire rapporteure, notifié à la société [...] le 2 octobre 2020 ;
Vu les observations écrites versées par la société [...] le 2 novembre 2020 ;
Vu la réponse de la rapporteure à ces observations notifiées le 24 novembre 2020 au conseil de la société ;
Vu les nouvelles observations écrites versées par le conseil de la société [...], reçues le 16 décembre 2020, ainsi que les observations orales formulées lors de la séance de la formation restreinte ;
Vu le document relatif au déploiement de la procédure d’archivage intermédiaire et d’anonymisation des données des prospects et clients de la société [...] versée par le conseil de la société [...] lors de la séance de la formation restreinte ;
Vu le procès-verbal de constat d’huissier réalisé le 5 février 2021 ainsi que son annexe, adressés par le conseil de la société au président de la formation restreinte et à la rapporteure le 10 février 2021 ;
Vu les autres pièces du dossier ;
Étaient présents, lors de la séance de la formation restreinte du 28 janvier 2021 :
- Madame Valérie PEUGEOT, commissaire, entendue en son rapport ;
En qualité de représentants de la société [...] :
- […] ;
- […] ;
- […] ;
- […].
La société [...] ayant eu la parole en dernier ;
La formation restreinte a adopté le projet de décision suivant :
I. Faits et procédure
1. La société [...] (ci-après " la société ") est une société par actions simplifiée à associé unique créée en 2012. Son siège social est situé […]. Elle est présidée par la société Y, société par actions simplifiée, située […].
2. La société édite le site internet [...], qui est accessible en France, en Espagne depuis 2015, en Italie depuis 2016 et au Portugal depuis 2017. Il s’agit d’un site de ventes privées dédié au bricolage, au jardinage et à l’aménagement de la maison. Jusqu’au mois de […], les ventes étaient accessibles à condition d’avoir créé un compte sur le site. Depuis cette date, les ventes sont visibles sans condition préalable de création de compte. En revanche, pour effectuer un achat, il est toujours nécessaire de créer un compte sur le site [...]. En 2018, la société comptait […] utilisateurs en France, […] utilisateurs en Espagne, […] utilisateurs en Italie et […] utilisateurs au Portugal.
3. Elle a réalisé, en 2018, un chiffre d’affaires d’environ […] euros, pour un résultat net d’environ […] euros. En 2019, elle a réalisé un chiffre d’affaires d’environ […] euros pour un résultat net d’environ […] euros. En 2020, elle a réalisé un chiffre d’affaires d’environ […] euros, pour un résultat net d’environ […] euros. La société [...] employait, en 2018, environ 150 personnes.
4. Le 13 novembre 2018, en application de la décision no 2018-238C du 27 septembre 2018 de la présidente de la CNIL, une délégation de la CNIL a procédé à une mission de contrôle dans les locaux de la société. Cette mission avait pour objet de vérifier le respect par cette société de l’ensemble des dispositions du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (ci-après " le Règlement " ou " le RGPD ") et de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après " la loi du 6 janvier 1978 modifiée " ou la loi " Informatique et Libertés ").
5. Le contrôle visait plus particulièrement les traitements de données à caractère personnel des clients et des prospects de la société. Les vérifications opérées ont notamment porté sur les durées de conservation des données à caractère personnel, l’information portée à la connaissance des personnes concernées s’agissant des traitements effectués par la société, le respect des demandes d’effacement des données à caractère personnel des personnes concernées, l’obligation d’assurer la sécurité des données ainsi que l’obligation de recueillir le consentement de la personne concernée à recevoir de la prospection commerciale par courrier électronique.
6. A l’issue du contrôle, le procès-verbal n°2018-238/1 a été notifié à la société [...] par courrier daté du 19 novembre 2018. La société a transmis aux services de la Commission, par courriel du même jour, les pièces complémentaires sollicitées à l’issue de la mission de contrôle.
7. Par courriel du 5 février 2019, la société a communiqué de sa propre initiative à la délégation plusieurs pièces complémentaires, notamment un document intitulé " Procédure de conservation des données à caractère personnel ".
8. Les investigations ayant permis d’établir le caractère transfrontalier du traitement concerné, la CNIL a informé le 27 août 2019, conformément à l’article 56 du RGPD, l’ensemble des autorités de contrôle européennes de sa compétence pour agir en tant qu’autorité de contrôle chef de file et a ainsi ouvert la procédure pour la déclaration des autorités concernées sur ce cas.
9. Le 27 septembre 2019, la présidente de la CNIL a soumis aux autorités concernées un projet de mise en demeure. À la suite de cette diffusion, trois autorités ont formulé des objections pertinentes et motivées au sens de l’article 60 du RGPD, demandant pour deux d’entre elles que le projet de mise en demeure soit modifié en un projet de sanction, et plus particulièrement d’amende administrative pour l’une de ces deux autorités. Au soutien de cette demande, les autorités concernées soulignaient notamment le nombre de manquements, le nombre de personnes concernées et la taille de la société.
10. Afin de compléter ses investigations, la CNIL a, le 6 février 2020, en application de la décision n° 2018-238C susvisée, procédé à une mission de contrôle en ligne de tout traitement accessible à partir du domaine [...].
11. Ce contrôle portait plus particulièrement sur les modalités d’information des personnes concernées sur le site web [...] et sur le dépôt de cookies sur le terminal des utilisateurs lors de leur arrivée sur ce site.
12. A la suite du contrôle, le procès-verbal n° 2018-238/2 a été notifié à la société [...] par courrier daté du 19 février 2020. La société a transmis aux services de la Commission, par courriels des 4 mars et 9 juillet 2020, les pièces complémentaires et les informations sollicitées à l’issue de la mission de contrôle.
13. Le 13 janvier 2021, une délégation de la CNIL a, en application de la décision n° 2018-238C susvisée, procédé à une nouvelle mission de contrôle en ligne de tout traitement accessible à partir du domaine [...]. La société ayant indiqué que des modifications avaient été apportées aux modalités de dépôt des cookies, il a été décidé de procéder à un nouveau contrôle afin de réactualiser les constats effectués le 6 février 2020.
14. A l’issue du contrôle, le procès-verbal n°2018-238/3 a été notifié à la société [...] par courrier daté du 14 janvier 2021. Par courriel du 26 janvier 2021, la société a transmis aux services de la Commission les pièces complémentaires sollicitées lors du contrôle.
15. Aux fins d’instruction de ces éléments, la présidente de la Commission a, le 19 décembre 2019, désigné Madame Valérie PEUGEOT en qualité de rapporteure sur le fondement de l’article 22 de la loi du 6 janvier 1978 modifiée.
16. À l’issue de son instruction, la rapporteure a, le 2 octobre 2020, fait notifier à la société [...] un rapport détaillant les manquements au RGPD qu’elle estimait constitués en l’espèce et indiquant à la société qu’elle disposait d’un délai d’un mois pour communiquer ses observations écrites en application des dispositions de l’article 40 du décret n° 2019-536 du 29 mai 2019.
17. Ce rapport proposait à la formation restreinte de la Commission de prononcer une injonction de mettre en conformité le traitement avec les dispositions des articles L. 34-5 du code des postes et des communications électroniques (ci-après le " CPCE "), 82 de la loi Informatique et Libertés et 5-1-e), 13, 17 et 32 du RGPD, assortie d’une astreinte par jour de retard à l’issue d’un délai de trois mois suivant la notification de la délibération de la formation restreinte, ainsi qu’une amende administrative. Il proposait également que cette décision soit rendue publique, mais qu’il ne soit plus possible d’identifier nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.
18. Le 2 novembre 2020, par l’intermédiaire de son conseil, la société a produit des observations.
19. Le 5 novembre 2020, une convocation à la séance de la formation restreinte du 10 décembre 2020 a été adressée à la société.
20. Le 13 novembre 2020, la rapporteure a sollicité un délai pour répondre aux observations formulées par la société [...]. Par courriel du 16 novembre 2020, le président de la formation restreinte a avisé la rapporteure qu’elle bénéficiait d’un délai supplémentaire de huit jours pour produire ses observations. Par courrier du 24 novembre 2020, la société a été avisée qu’elle bénéficiait également d’un délai supplémentaire de huit jours et que, dès lors, la séance de la formation restreinte initialement prévue le 10 décembre 2020 était reportée.
21. Le 16 décembre 2020, la société a produit de nouvelles observations en réponse à celles de la rapporteure.
22. Par courrier daté du 11 janvier 2021, les services de la Commission ont adressé à la société une nouvelle convocation à la séance de la formation restreinte du 28 janvier 2021.
23. La société et la rapporteure ont présenté des observations orales lors de cette séance.
24. Le 19 mai 2021, dans le cadre de la procédure de coopération, un projet de décision a été soumis aux autorités concernées sur le fondement de l’article 60 du RGPD concernant les manquements au RGPD.
25. Ce projet n’a pas donné lieu à des objections pertinentes et motivées.
II. Motifs de la décision
A. Sur le manquement à l’obligation de définir et de respecter une durée de conservation des données à caractère personnel proportionnée à la finalité du traitement en application de l’article 5-1-e) du RGPD
26. Aux termes de l’article 5-1 e) du Règlement, les données à caractère personnel doivent être " conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées ; les données à caractère personnel peuvent être conservées pour des durées plus longues dans la mesure où elles seront traitées exclusivement à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques conformément à l'article 89, paragraphe 1, pour autant que soient mises en œuvre les mesures techniques et organisationnelles appropriées requises par le présent règlement afin de garantir les droits et libertés de la personne concernée (limitation de la conservation)".
27. La rapporteure a relevé que, lors du contrôle du 13 novembre 2018, la société a indiqué à la délégation qu’aucune durée de conservation des données à caractère personnel des clients (les clients étant selon la société les détenteurs d’un compte sur le site ayant déjà effectué au moins un achat) et des prospects (détenteurs d’un compte sur le site n’ayant jamais effectué d’achat) n’avait été déterminée et qu’elle ne procédait à aucun effacement régulier ni aucun archivage de telles données à l’issue d’une période définie.
28. En défense, bien qu’elle n’en ait pas fait état lors du contrôle, la société a d’abord fait valoir qu’une politique de durée de conservation avait été définie dès le 26 octobre 2018, de telle sorte qu’aucun manquement ne pouvait lui être reproché au titre de la définition des durées de conservation.
29. Dans ses observations du 16 décembre 2020, la société a ensuite indiqué que les données des clients et prospects utilisées à des fins de prospection commerciale ou relatives à la gestion de leur compte étaient désormais conservées en base active jusqu’à la suppression du compte ou, en cas d’inactivité, pendant trois ans à compter de leur dernière connexion au compte. A l’issue de ces délais, la société a précisé que seules les données nécessaires à des finalités précontentieuses ou contentieuses sont archivées jusqu’à la date correspondant à la prescription légale justifiant leur conservation puis qu’elles seraient supprimées.
30. Enfin, lors de la séance de la formation restreinte et alors que la procédure d’instruction était close, la société a produit un document visant à apporter la preuve du déploiement d’une procédure d’archivage intermédiaire et d’un processus d’anonymisation des données. Par courriel du 10 février 2021, la société a transmis, par l’intermédiaire de son conseil, un procès-verbal réalisé le 5 février 2021, ainsi que son annexe, relatifs à la procédure d’anonymisation des données des prospects et clients de la société [...].
31. Selon la formation restreinte, s’agissant de la définition de durées de conservation applicables aux données des clients et prospects de la société [...], il y a tout d’abord lieu de relever que le document intitulé " Procédure de conservation des données à caractère personnel " est daté du 26 octobre 2018, soit antérieurement au contrôle. Il n’a pourtant été communiqué à la délégation que deux mois après la réalisation du contrôle, le 5 février 2019, et au jour du contrôle, le 13 novembre 2018, la société a indiqué à la délégation qu’" aucune durée de conservation n’est implémentée en base de données ".
32. La formation restreinte relève ensuite que lors du contrôle du 13 novembre 2018, la délégation a constaté la présence, en base active, de données à caractère personnel de 16 653 personnes n’ayant pas passé commande depuis plus de cinq ans, sans que la société soit en mesure d’avancer une explication ou d’apporter une justification quant à la durée de cette conservation ou d’apporter la preuve d’un contact plus récent avec lesdits clients (échange avec le service clients, clic sur un lien promotionnel figurant dans un courrier électronique, etc.). De plus, la formation restreinte relève qu’en réponse à une demande de compléments des services de la CNIL, la société a fourni, le 4 mars 2020, un tableau Excel dont il ressort qu’elle conservait en base les données à caractère personnel de plus de 130 000 personnes qui ne s’étaient pas connectées à leur compte client depuis plus de cinq ans.
33. Dès lors, si la formation restreinte prend note que la société [...] met désormais en œuvre des durées de conservation dont le respect permet de se conformer aux dispositions de l’article 5-1-e) du RGPD – en garantissant que les données ne sont pas conservées pour des durées excédant celle nécessaire au regard des finalités pour lesquelles elles sont traitées – elle estime, en tout état de cause, qu’au jour du contrôle, la politique de durées de conservation n’était pas respectée et que les données étaient conservées pour des durées excessives. La délégation de contrôle de la CNIL a en effet constaté que les données à caractère personnel étaient conservées pendant des durées bien plus longues que celles définies dans le document précité et qui n’apparaissaient pas adaptées au regard des finalités pour lesquelles les données sont traitées.
34. En outre, la formation restreinte considère que la société n’avait pas fourni, à la date de la clôture de l’instruction, d’éléments permettant d’attester d’une mise en conformité sur ce point. Elle considère en tout état de cause que, conformément à l’article 40 du décret du 29 mai 2019 pris pour l’application de la loi " Informatique et Libertés ", les éléments remis lors de la séance du 28 janvier 2021 ne sont pas, en l’état, suffisants pour se prononcer à ce stade sur sa mise en conformité éventuelle à l’article 5-1-e) du RGPD.
35. Au regard de l’ensemble de ces éléments, la formation restreinte considère que le manquement à l’article 5-1-e) du RGPD est caractérisé et que la société ne s’est pas complètement mise en conformité à la date de clôture de l’instruction.
B. Sur le manquement relatif à l’obligation d’informer les personnes en application de l’article 13 du RGPD
36. L’article 13 du RGPD exige du responsable de traitement qu’il fournisse, au moment où les données sont collectées, les informations relatives à son identité et ses coordonnées, celles du délégué à la protection des données, les finalités du traitement et sa base juridique, les destinataires ou les catégories de destinataires des données à caractère personnel, le cas échéant leur transferts, leur durée de conservation, les droits dont bénéficient les personnes ainsi que le droit d’introduire une réclamation auprès d’une autorité de contrôle.
37. La rapporteure relève que, tel qu’il ressort des constatations effectuées lors du contrôle sur place du 13 novembre 2018, puis du contrôle en ligne du 6 février 2020, l’information mise à disposition des utilisateurs du site n’était pas complète au sens de l’article 13 du Règlement. En effet, certaines mentions obligatoires prévues par cet article – à savoir les coordonnées du délégué à la protection des données, les durées de conservation, les bases juridiques des traitements et certains droits dont les personnes bénéficient au titre du RGPD – n’étaient pas portées à la connaissance des personnes concernées sur le site [...], que ce soit par le biais des conditions générales de vente, des " mentions légales et données personnelles " ou de la politique de conservation des données à caractère personnel.
38. En défense, la société indique avoir procédé à des rectifications, dans le cadre de la procédure, afin de délivrer une information conforme aux exigences du RGPD.
39. En premier lieu, s’agissant des coordonnées du délégué à la protection des données, la formation restreinte relève que la société a reconnu que celles-ci n’étaient pas présentes sur le site [...] jusqu’à la notification du rapport de sanction, mais a précisé qu’il était néanmoins possible de lui adresser une demande via une rubrique " désabonnement et désinscription " au sein d’un formulaire de contact.