AgentPublic/cnil huggingface dataset:
171. En troisième lieu, la formation restreinte relève le nombre important de salariés concernés par les manquements : à la date des contrôles, les sites de Lauwin-Planque et Montélimar comptaient en tout 2714 salariés en contrat à durée indéterminée et environ 3000 intérimaires à cette date. Si les manquements relatifs à la vidéosurveillance ne concernent que ces sites contrôlés, la formation restreinte estime qu’il ressort des pièces du dossier, et n’est pas contesté par la société, que les dispositifs excessifs de traitement de données de ses salariés étaient mis en œuvre sur l’ensemble des six sites de la société en France, lesquels comptaient 6200 salariés en contrat à durée indéterminée au moment des contrôles, étant précisé que la société a fait appel à un total de 21 000 intérimaires sur l’année 2019.
172. En quatrième lieu, la formation restreinte souligne que la société a adopté des mesures de mise en conformité partielle. S’agissant du manquement à l’information des intérimaires, elle note que depuis avril 2020, les intérimaires sont informés des traitements de leurs données mis en œuvre au moyen des scanners. S’agissant des traitements de vidéosurveillance, la formation restreinte prend acte de la mise en conformité de la société en cours de procédure, résultant de panneaux d’information désormais complets et du plan de migration des caméras de l’entrepôt de Montélimar, qui a permis de remédier aux problématiques de partage des comptes d’accès à l’ancien logiciel et à l’insuffisante robustesse du mot de passe d’accès.
173. La formation restreinte observe également que dans ses dernières observations, la société a annoncé des changements significatifs relatifs aux traitements des données de ses salariés au moyen des scanners. La société a souligné qu’elle estime ne pas être tenue légalement à ces changements et qu’elle les met en œuvre pour tenir compte des recommandations du rapporteur. La formation restreinte relève que les changements opérés répondent en effet à plusieurs griefs du rapporteur. Elle note également que ces mesures ne seront finalisées qu’au cours du premier trimestre 2024.
174. En conséquence, la formation restreinte considère qu’il y a lieu de prononcer une amende administrative au regard des manquements constitués aux articles 5-1-c), 6, 12, 13 et 32 du RGPD.
175. A cet égard, la formation restreinte relève que les manquements relatifs aux articles 5-1-c), 6, 12 et 13 du RGPD sont des manquements à des principes fondamentaux du RGPD, susceptibles de faire l’objet, en vertu de l’article 83 du RGPD, d’une amende administrative pouvant s’élever jusqu’à 20 000 000 euros et jusqu’à 4 % du chiffre d’affaires annuel mondial total réalisé par l’entreprise au cours de l’exercice précédent, le montant le plus élevé étant retenu. L’entreprise est définie comme l’unité économique, poursuivant un but économique déterminé, à laquelle appartient le responsable de traitement, quel que soit le statut juridique de cette unité.
176. Tout d’abord, la formation restreinte considère que l’unité économique à prendre en compte au regard de l’activité liée aux traitements en cause est en l’espèce la société X.
177. La formation restreinte rappelle ensuite que les amendes administratives doivent être à la fois effectives, proportionnées et dissuasives. Elle relève que la société X a réalisé, en 2021, un chiffre d’affaires de 1,135 milliard d’euros, pour un résultat net de 58,9 millions d’euros.
178. La formation restreinte considère que la pression exercée sur les salariés des entrepôts via ces traitements participe directement aux gains économiques engendrés au profit de la société et lui permettent de bénéficier d’un avantage concurrentiel sur les autres entreprises du secteur de la vente en ligne. Partant, et au regard de l’ensemble des considérations qui précèdent, la formation restreinte considère qu’une amende de 32 000 000 euros (trente-deux millions d’euros), équivalant à près de 3 % du chiffre d’affaires réalisé en 2021 par la société, apparaît justifiée.
B. Sur la publicité
179. En défense, la société conteste la proposition du rapporteur de rendre publique la présente décision. Elle fait valoir que la décision contiendrait des secrets d’affaires, en particulier des informations détaillées concernant les outils qu’elle utilise et leur fonctionnement ainsi que sur la manière dont elle gère ses relations avec ses employés. Pour justifier cette demande de publicité, le rapporteur invoque notamment l’importance d’informer les personnes concernées de la nature des manquements commis par la société.
180. La formation restreinte considère que la publicité de la présente délibération se justifie au regard de la gravité des manquements en cause, du nombre et de la vulnérabilité des personnes concernées. La formation restreinte considère également que la publicité de la sanction permettra d’informer l’ensemble des personnes concernées des suites apportées aux manquements, mais aussi d’informer plus largement toute personne susceptible de travailler dans l’un des entrepôts des pratiques de la société ainsi que des droits dont elle dispose à l’égard de ses données à caractère personnel dans ce contexte. Enfin, s’agissant de l’argument lié à la divulgation de secret d’affaires, la formation restreinte relève que de nombreux articles de presse ont déjà été publiés sur les traitements de données mis en œuvre par la société à l’égard de ses salariés et rappelle en tout état de cause que les informations relevant des secrets d’affaires sont occultées des décisions publiées par la formation restreinte.
181. Enfin, la mesure est proportionnée dès lors que la décision n’identifiera plus nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide de :
• prononcer à l’encontre de la société X une amende administrative d’un montant de trente-deux millions d’euros (32 000 000 euros) pour manquements aux articles 5-1-c), 6, 12, 13 et 32 du règlement (UE) n° 2016/679 du 27 avril 2016 relatif à la protection des données ;
• rendre publique, sur le site de la CNIL et sur le site de Légifrance, sa délibération, qui n’identifiera plus nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.
Le président
Alexandre LINDEN
Cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’État dans un délai de deux mois à compter de sa notification.
Avis favorable avec réserve
Extrait du Journal officiel électronique authentifié PDF - 163,8 Ko
Avis favorable avec réserve
Extrait du Journal officiel électronique authentifié PDF - 163,3 Ko
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre des comptes et de l'action publique d'une demande d'avis concernant un projet de décret en Conseil d'Etat pris en application de l'article L. 135 ZH du livre des procédures fiscales ;
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu le livre des procédures fiscales, notamment son article L. 135 ZH ;
Vu le code de la construction et de l'habitation, notamment ses articles L. 411-10, L. 441-2-1 et R. 441-2-1 à R. 441-2-8 ;
Vu l'arrêté du 24 juillet 2013 relatif au nouveau formulaire de demande de logement locatif social et aux pièces justificatives fournies pour l'instruction de la demande de logement locatif social ;
Vu l'arrêté du 15 novembre 2013 portant création d'un traitement de données à caractère personnel relatif à l'enregistrement des demandes de logement locatif social dénommé numéro unique ;
Vu la délibération n° 2013-351 du 7 novembre 2013 de la commission portant avis sur un projet d'arrêté du ministre de l'égalité des territoires et du logement portant création d'un téléservice de l'administration, dénommé numéro unique , permettant de dématérialiser les demandes de logement locatif social ;
Vu la délibération n° 2017-132 du 27 avril 2017 de la commission portant avis sur un projet de décret en Conseil d'Etat du ministère du logement et de l'habitat durable relatif au traitement de données à caractère personnel permettant l'enregistrement des demandes de logement locatif social dénommé numéro unique 
Vu le dossier et ses compléments ;
Sur la proposition de M. Philippe GOSSELIN, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Emet l'avis suivant :
La commission a été saisie pour avis par le ministre des comptes et de l'action publique d'une demande d'avis concernant un projet de décret en Conseil d'Etat pris en application de l'article L. 135 ZH du livre des procédures fiscales.
La loi n° 2017-1775 du 28 décembre 2017 de finances rectificative pour 2017 a créé l'article L. 135 ZH du livre des procédures fiscales, lequel prévoit que l'administration fiscale communique, chaque année, aux services du ministère chargé du logement les informations nécessaires à la détermination et au contrôle de l'éligibilité des demandeurs d'accès à un logement social et à lutter contre la fraude aux demandes de logements sociaux.
Ce texte autorise ces ministères à utiliser le NIR des personnes concernées dans le cadre de ces échanges de données et mentionne qu'un décret en Conseil d'Etat pris après avis de la CNIL précise les informations pouvant être échangées dans ce cadre.
L'article 1er du projet de décret énumère, d'une part, les éléments que peuvent contenir les demandes du ministère chargé du logement adressés à l'administration fiscale et, d'autre part, les éléments de la situation fiscale des personnes concernées communicables au ministère chargé du logement.
Sous réserve d'une concordance suffisante des éléments d'identification des personnes concernées avec ceux détenus par la direction générale des finances publiques, les demandes d'informations nominatives que doivent adresser les services du minière chargé du logement peuvent comporter tout ou partie des informations suivantes, relatives aux demandeurs de logement social : le nom de famille et les prénoms ; le sexe ; la date et le lieu de naissance ; l'adresse ; le NIR et un numéro de liaison.
La commission estime que la composition du numéro de liaison pourrait être précisée afin de lever toute ambiguïté quant à son articulation avec le NIR et quant à la capacité des ministères à identifier, sur cette base, les personnes concernées qui ne disposeraient pas de NIR.
Sous cette réserve, la commission estime que ces informations sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et du besoin d'identification des personnes concernées. Elle relève que ces données n'excèdent pas le périmètre de celles collectées par les bailleurs sociaux dans le cadre des traitements liés à l'enregistrement et à 1"instruction des demandes de logements sociaux dans le système numéro unique .
Les informations communiquées, en retour, par la direction générale des finances publiques aux demandes des services du ministère chargé du logement sont les suivantes : le revenu fiscal de référence ; l'adresse fiscale de taxation.
La commission estime que ces données sont pertinentes au regard des finalités poursuivies.
Elle estime que les autres dispositions du présent projet de décret n'appellent pas d'observation et souligne, enfin, qu'en raison de la nature des données traitées, de la vulnérabilité des personnes concernées et des caractéristiques des traitements des bailleurs sociaux, ceux-ci ne pourront être mis en œuvre qu'après l'accomplissement d'analyses d'impact sur la protection des données, conformément aux dispositions de l'article 35 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données.
La présidente,
I. Falque-Pierrotin
Par une décision du 20 mai 2026, le Conseil d’Etat a réformé la délibération de la formation restreinte en ramenant le montant de la sanction à 50 000 euros, considérant que la formation restreinte, en substituant dans sa décision le manquement à l’article 5 du RGPD retenu dans le rapport de sanction par un manquement à l’article 6 du RGPD, a méconnu les droits de la société qui n’a pas pu formuler d’observations en réponse sur ce point. 
Consulter la décision n° 492836.
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Alexandre LINDEN, président, M. Philippe-Pierre CABOURDIN, vice-président, Mmes Isabelle LATOURNAIRE-WILLEMS et Christine MAUGÜÉ, MM. Alain DRU et Bertrand du MARAIS, membres ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;
Vu le décret no 2019-536 du 29 mai 2019 pris pour l'application de la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la décision n° 2022-054C du 25 mars 2022 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements mis en œuvre par la société […] ou pour son compte, en tout lieu susceptible d’être concerné par leur mise en œuvre ;
Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte, en date du 22 juin 2023 ;
Vu le rapport de Mme Valérie PEUGEOT, commissaire rapporteure, notifié à la société […] le 25 août 2023 ;
Vu les observations écrites versées par la société […] le 29 septembre 2023 ;
Vu la réponse du rapporteur notifié à la société le 20 octobre 2023 ;
Vu les observations écrites versées par la société […] le 20 novembre 2023 ;
Vu la clôture de l’instruction, notifiée à la société le 22 novembre 2023 ;
Vu les observations orales formulées lors de la séance de la formation restreinte du 7 décembre 2023 ;
Vu les autres pièces du dossier ;
Étaient présents, lors de la séance de la formation restreinte :
- Mme Valérie PEUGEOT, commissaire, entendue en son rapport ;
En qualité de représentants de la société […] :
- […].
La société […] ayant eu la parole en dernier ;
La formation restreinte a adopté la décision suivante :
I. Faits et procédure
1. La société […] (ci-après " la société ") est une société par actions simplifiée (SAS) au capital de 100 000 euros, sise […]. Créée en […], elle met principalement en œuvre des sites en ligne de jeux-concours et de tests de produits par lesquels elle collecte des données de prospects. Ces données sont ensuite vendues à des partenaires annonceurs effectuant des opérations de démarchage.
2. En 2016, la société […] a racheté à 100% la société […]. Créée en 2004, la société […] diffuse des newsletters qui incluent des messages commerciaux pour le compte de clients annonceurs. Les newsletters sont adressées à des prospects dont les données ont été collectées par les sites édités par la société […] ou la société […].
3. En 2023, la société […] comptait six salariés. Elle a réalisé, pour l’année 2022, un chiffre d'affaires de […] euros pour un résultat net de […] euros. Pour la période du 1er janvier 2023 au 31 août 2023, son chiffre d’affaires s’est élevé à […] euros.
4. En application de la décision n° 2022-054C du 25 mars 2022 de la présidente de la Commission, une délégation de la CNIL a effectué une mission de contrôle en ligne du site web accessible via l’URL […] afin de vérifier le respect des dispositions de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après "la loi Informatique et Libertés " ou "loi du 6 janvier 1978 ") et du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données (ci-après le "Règlement " ou "RGPD ").
5. Ce contrôle en ligne a donné lieu à un procès-verbal n° 2022-054/1 du 16 mai 2022, notifié le 27 mai 2022 à la société.
6. En application de la décision n° 2022-054C du 25 mars 2022 de la présidente de la CNIL, une délégation de la Commission a procédé à une mission de contrôle sur place de la société […]. Des procès-verbaux n° 2022-054/2 et n° 2022-054/3 des 18 et 19 mai 2022 ont été dressés et notifiés à la société par un courrier du 23 mai 2022.
7. Par des courriers des 3 et 10 juin 2022, la société a communiqué les éléments sollicités dans le cadre des contrôles en ligne et sur place. Les 13 juillet et 30 septembre 2022, la délégation de contrôle a adressé des demandes complémentaires, auxquelles la société a répondu les 26 juillet et 12 octobre 2022.
8. Le 18 octobre 2022, un second contrôle en ligne a été diligenté par les services de la CNIL. Le procès-verbal n° 2022-054/4 a été notifié le 5 décembre 2022 et la société a communiqué les éléments sollicités le 20 décembre 2022. Une dernière demande complémentaire a été adressée le 3 mai 2023, à laquelle la société a répondu le 22 mai 2023.
9. Le 22 juin 2023, la présidente de la Commission a, sur le fondement de l’article 22 de la loi du 6 janvier 1978, désigné Mme Valérie PEUGEOT en qualité de rapporteure aux fins d’instruction de ces éléments.
10. Le 25 août 2023, à l’issue de son instruction, la rapporteure a fait notifier à la société un rapport détaillant les manquements aux articles 5, 6, 30 et 32 du RGPD qu’elle estimait constitués en l’espèce. Ce rapport proposait à la formation restreinte de prononcer une amende administrative à l’encontre de la société. Il proposait également que cette décision soit rendue publique.
11. Le 29 septembre 2023, la société a produit des observations en réponse au rapport de la rapporteure.
12. Sur demande de la rapporteure et par une décision n° 2023-235C du 17 octobre 2023 de la Présidente de la CNIL, une délégation de la CNIL a procédé à un contrôle en ligne pour vérifier la conformité de tout traitement accessible à partir de l’URL "[…] " ou portant sur des données à caractère personnel collectées à partir de cette dernière. Ce contrôle a donné lieu à un procès-verbal n° 2023-235/1.
13. Le 20 octobre 2023, la réponse de la rapporteure a été notifiée à la société.
14. Le 20 novembre 2023, la société a adressé de nouvelles observations en réponse à celles de la rapporteure.
15. Par courrier du 21 novembre 2023, la rapporteure a, en application du III de l’article 40 du décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi Informatique et Libertés, informé la société que l’instruction était close.
16. La rapporteure et la société ont présenté des observations orales lors de la séance de la formation restreinte du 7 décembre 2023.
I. Motifs de la décision
A. Sur le manquement à l’obligation de disposer d’une base légale pour les traitements mis en œuvre
17. Aux termes de l’article 6, paragraphe 1, du RGPD, "Le traitement n'est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie :
a) la personne concernée a consenti au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques ;
b) le traitement est nécessaire à l'exécution d'un contrat auquel la personne concernée est partie ou à l'exécution de mesures précontractuelles prises à la demande de celle-ci ;
c) le traitement est nécessaire au respect d'une obligation légale à laquelle le responsable du traitement est soumis ;
d) le traitement est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d'une autre personne physique ;
e) le traitement est nécessaire à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement ;
f) le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent une protection des données à caractère personnel, notamment lorsque la personne concernée est un enfant ".
18. En vertu de l’article 4, paragraphe 11, du RGPD, le consentement de la personne concernée s’entend de "toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l'objet d'un traitement ".
1) S’agissant des formulaires de collecte de données de prospects
19. La rapporteure relève que la société collecte des données de prospects par l’intermédiaire de formulaires de participation à des jeux-concours en ligne. Ces données sont ensuite transmises à des partenaires de la société, qui procèdent à des opérations de prospection commerciale par voie électronique. La rapporteure note également que la politique de protection des données, accessible via les sites web que la société […] édite, prévoit que la base légale de la transmission des données de prospects à des fins de prospection par voie électronique est le consentement.
20. Pour proposer à la formation restreinte de considérer que la société a méconnu ses obligations résultant de l’article 6 du RGPD, tel qu’éclairé par les dispositions de l’article 4, paragraphe 11 du RGPD, la rapporteure se fonde sur le fait que la conception de ces formulaires ne permet pas aux utilisateurs de manifester leur consentement par un acte positif clair et dénué d’ambigüité, et les incite fortement à accepter la transmission de leurs données aux partenaires de la société à des fins de prospection.
21. En défense, la société confirme qu’elle a choisi de fonder son traitement relatif à la prospection commerciale sur le recueil du consentement, que ce soit pour la prospection par voie électronique, par voie postale et par voie téléphonique. Elle précise que le recueil du consentement "à action unique " est accompagné d’un centre de désabonnement qui permet de se désinscrire de manière complète à l’ensemble des moyens de prospection.
22. La société avait recours, successivement, à deux types de formulaire, l’un reposant sur un bouton unique, l’autre sur deux boutons.
23. S’agissant du formulaire à bouton unique, la société indique que sa conception faisait que la participation de l’internaute au jeu/concours n’était conditionnée qu’à son acceptation du règlement. Ce dernier pouvait ainsi cliquer sur le lien situé dans le texte explicatif pour participer au jeu sans accepter de transmettre ses données aux partenaires.
24. Par ailleurs, d’une manière générale, la société affirme que les deux formulaires permettaient bien aux internautes de faire un choix relatif à la transmission de leurs données, ce qui garantirait le caractère libre du consentement. Elle indique, d’une part, que la participation au jeu et le recueil du consentement pour la transmission des données sont décorrélés, d’autre part, que le consentement est spécifiquement recueilli pour la prospection commerciale. Elle précise également que les formulaires indiquent clairement les implications des clics des internautes, tout en reconnaissant que des modifications étaient nécessaires s’agissant des implications du bouton "JE REFUSE " sur le formulaire à deux boutons. Enfin, la société affirme que le consentement serait univoque car manifesté par un clic sur le bouton, ce qui en fait bien une action positive. Lors de la séance de la formation restreinte, la société a précisé que le formulaire à bouton unique a été mis en place en 2015 mais qu’il est aujourd’hui obsolète, le formulaire à deux boutons étant effectif depuis 2017.