La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de Messieurs Alexandre LINDEN, président, Philippe-Pierre CABOURDIN, vice-président, et de Mesdames Sylvie LEMMET et Christine MAUGÜE, membres ;

Vu la Convention no 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;

Vu la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;

Vu le code des postes et des communications électroniques ;

Vu le décret no 2019-536 du 29 mai 2019 pris pour l’application de la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;

Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;

Vu l’ordonnance no 2020-306 du 25 mars 2020 relative à la prorogation des délais échus pendant la période d’urgence sanitaire ;

Vu les saisines nos […]

Vu les décisions no 2019-081C du 24 avril 2019 et no 2019-102C du 6 juin 2019 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements mis en œuvre par cet organisme ou pour le compte de la société […] et ses filiales, et notamment les sociétés […], […], […], […] et […] ;

Vu les observations adressées à la Commission par la société […] le 5 décembre 2019 ;

Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte, en date du 10 décembre 2019 ;

Vu le rapport de Monsieur Éric PÉRÈS, commissaire rapporteur, notifié à la société […] le 10 janvier 2020 ;

Vu les observations écrites versées par le conseil de la société […] le 10 mars 2020 ;

Vu la réponse du rapporteur à ces observations notifiée par courriel le 22 avril 2020 au conseil de la société ;

Vu les observations écrites du conseil de la société […] reçues le 24 août 2020 ;

Vu les observations complémentaires reçues le 15 septembre 2020 ;

Vu les observations orales formulées lors de la séance de la formation restreinte ;

Vu les autres pièces du dossier ;

Étaient présents, lors de la séance de la formation restreinte du 17 septembre 2020 :

– Monsieur Éric PÉRÈS, commissaire, entendu en son rapport ;

En qualité de représentants de la société […] :

– […] ;

– […] ;

– […] ;

– […] ;

– […] ;

– […].

La société […] ayant eu la parole en dernier ;

La formation restreinte a adopté la décision suivante :

I. Faits et procédure

1. La société […] (ci-après  » la société « ) est une filiale du groupe […] (ci-après  » le groupe « ) sis […], intervenant dans de nombreux domaines. Son activité principale est la grande distribution, mais le groupe a diversifié ses activités, en intervenant par exemple dans le secteur bancaire et assurantiel, ainsi que comme agence de voyages ou encore vendeur spécialisé dans le commerce en ligne.

2. En 2019, le groupe […] employait environ 360 000 salariés, avait réalisé un chiffre d’affaires d’environ 80 milliards d’euros et un résultat net ajusté, part du groupe, de 905 millions d’euros, en hausse par rapport à 2018 (804 millions d’euros). La société […] a réalisé, en 2019, un chiffre d’affaires d’environ 14 millions d’euros, pour un résultat net déficitaire d’environ 1,6 milliard d’euros.

3. Le groupe […] est notamment constitué de la société mère […], qui détient la société […] à 99,61%. Cette dernière détient la société […] à 82% et la société […] à 99%. En 2019, […] a réalisé un chiffre d’affaires de 14,3 milliards d’euros et […] a réalisé un chiffre d’affaires de 636 millions d’euros.

4. Pour les besoins de son activité, la société […] édite notamment le site web […] (ci-après  » le site […] « ), permettant à ses clients de créer et d’accéder à un espace personnel et de passer commande.

5. Entre le 8 juin 2018 et le 6 avril 2019, la Commission a été destinataire de quinze plaintes de particuliers relatives aux sociétés du groupe […].

6. Sept de ces saisines (nos […]) faisaient état de prospection commerciale alors que les personnes concernées avaient préalablement exprimé leur opposition.

7. Quatre de ces saisines (nos […]) faisaient suite à des demandes d’effacement des données auxquelles il n’avait pas été fait droit.

8. Trois de ces saisines (nos […]) faisaient suite à des demandes d’accès aux données auxquelles il n’avait pas été fait droit.

9. Une saisine (no […]) faisait étant d’un lien de désabonnement dans un courriel de prospection commerciale.

10. En application des décisions no 2019-081C du 24 avril 2019 et no 2019-102C du 6 juin 2019 de la présidente de la Commission, cinq contrôles ont été opérés en ligne ou dans les locaux de la société :

– un contrôle en ligne, réalisé le 24 mai 2019, relatif au site […] et aux traitements mis en œuvre à partir de ce site ;

– un contrôle sur place, réalisé le 28 mai 2019, portant sur les traitements mis en œuvre par la société […], notamment dans le cadre du programme fidélité […] (ci-après  » le programme fidélité « ), ainsi que les différentes bases de données qu’elle utilisait pour la gestion de sa clientèle ;

– un contrôle sur place, réalisé les 11 et 12 juin 2019, relatif à l’exercice des droits et aux réponses apportées à plusieurs plaignants ayant saisi la CNIL d’une réclamation à l’encontre de la société ;

– un contrôle sur place, réalisé les 26 et 27 juin 2019, portant plus particulièrement sur la gestion des données à caractère personnel dans le cadre du programme fidélité ;

– un contrôle sur place, réalisé le 11 juillet 2019, relatif aux mesures de sécurité développées par […] pour protéger les données à caractère personnel qu’elle traite et aux violations de données intervenues.

11. Ces missions avaient pour objet de vérifier le respect, par la société, de l’ensemble des dispositions du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (ci-après  » le Règlement  » ou  » le RGPD « ) et de la loi no 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après  » la loi du 6 janvier 1978  » ou  » la loi informatique et libertés « ).

12. Différents échanges sont intervenus par courriel entre la société et la délégation de contrôle. Ces échanges concernaient la transmission de documents demandés à l’occasion des contrôles. Le 5 décembre 2019, la société a notamment fait parvenir à la délégation de contrôle des observations écrites reprenant la majorité des points relevés à l’occasion des contrôles et annonçant différentes actions visant à sa mise en conformité.

13. Aux fins d’instruction de ces éléments, la présidente de la Commission a désigné Monsieur Éric PÉRÈS en qualité de rapporteur, le 10 décembre 2019, sur le fondement de l’article 22 de la loi du 6 janvier 1978.

14. À l’issue de son instruction, le rapporteur a fait signifier par huissier de justice à la société […], le 10 janvier 2020, un rapport détaillant les manquements au RGPD, à la loi informatique et libertés et au code des postes et des communications électroniques qu’il estimait constitués en l’espèce.

15. Ce rapport proposait à la formation restreinte de la Commission de prononcer une injonction de mettre en conformité le traitement avec les dispositions des articles 5, 12, 13, 15, 17, 21, 32 et 33 du Règlement et à l’article 82 de la loi informatique et libertés, assortie d’une astreinte, ainsi qu’une amende administrative. Il proposait également que cette décision soit rendue publique et ne permette plus d’identifier nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.

16. Le 29 janvier 2020, la société a sollicité la prolongation d’un mois du délai dans lequel elle devait répondre au rapport, le report de la séance initialement prévue le 24 mars 2020 ainsi qu’une rencontre avec le rapporteur. Le 3 février, le président de la formation restreinte a accordé la prolongation sollicitée pour une durée d’un mois. Le 6 février, le secrétaire général de la CNIL a fait droit à la demande de report de la séance au 21 avril 2020. Le même jour, le rapporteur a refusé la rencontre sollicitée par la société.

17. Le 10 mars 2020, par l’intermédiaire de son conseil, la société a produit des observations et formulé une demande pour que la séance devant la formation restreinte se tienne à huis clos.

18. Par courrier électronique du 23 mars 2020 et sur le fondement de l’article 40, alinéa 4, du décret no 2019-536 du 29 mai 2019, le rapporteur a demandé au président de la formation restreinte un délai supplémentaire de quinze jours pour répondre aux observations de la société.

19. Par courrier du 24 mars 2020, prenant notamment acte du contexte de la crise sanitaire, le président de la formation restreinte a fait droit à la demande du rapporteur.

20. Par un courrier du même jour, la société a été informée du délai supplémentaire accordé au rapporteur et du fait qu’elle disposait, en vertu de l’alinéa 5 de l’article 40 du décret no 2019-536 du 29 mai 2019, d’un délai d’un mois pour répondre à la réponse du rapporteur. Le courrier l’informait également du report de la séance de la formation restreinte, initialement prévue le 21 avril 2020.

21. Par courrier électronique du 7 avril 2020, le rapporteur a demandé au président de la formation restreinte un nouveau délai supplémentaire de quinze jours pour répondre aux observations de la société, qui lui a été accordé le 8 avril 2020. La société en a été informée le même jour.

22. Le rapporteur a répondu aux observations de la société le 22 avril 2020.

23. Par un courrier du même jour, le secrétaire général de la CNIL a informé la société qu’elle pouvait transmettre ses observations à la réponse du rapporteur jusqu’au 24 août 2020 en application de l’ordonnance no 2020-306 du 25 mars 2020 relative à la prorogation des délais échus pendant la période d’urgence sanitaire.

24. Le 30 juin 2020, le président de la formation restreinte a fait droit à la demande de huis clos formulée par la société au motif que certains éléments versés aux débats étaient protégés par le secret des affaires, tel que prévu par l’article L ;151-1 du code du commerce.

25. Le 5 août 2020, les services de la CNIL ont notifié à la société une convocation à la séance de la formation restreinte du 17 septembre 2020.

26. Le 24 août, puis le 15 septembre, la société a produit de nouvelles observations en réponse à celles du rapporteur.

27. La société et le rapporteur ont présenté des observations orales lors de la séance de la formation restreinte.

II. Motifs de la décision

A. Sur le manquement à l’obligation de conserver les données à caractère personnel pour une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées

28. L’article 5-1 e) du Règlement dispose que les données à caractère personnel doivent être  » conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées « .

1. Les données des clients membres du programme de fidélité et des utilisateurs du site […]

29. D’une part, le rapporteur reproche à la société d’avoir fixé des durées de conservation excédant les durées nécessaires aux finalités des traitements. D’autre part, il reproche à la société d’avoir conservé des données à caractère personnel pendant une durée supérieure à celles prévues.

30. La société reconnaît ces points, mais rappelle qu’elle avait décidé, avant les contrôles de la CNIL, de réduire les durées de conservations de ses clients inactifs et qu’elle avait entamé les opérations de purges nécessaires au respect de ces nouvelles durées. Elle indique en outre avoir achevé l’ensemble de ces opérations durant la procédure de sanction.

31. Sur le premier point, la formation restreinte rappelle qu’au jour des contrôles, la société a indiqué que les données des clients  » fidélité  » étaient conservées en base active pendant quatre ans à compter de leur dernière activité (celle-ci pouvant s’entendre, selon les situations, comme la dernière transaction avec passage de la carte fidélité en caisse d’un magasin, la dernière transaction en ligne, la dernière modification de l’espace personnel sur le site web de la société ou le dernier contact avec le service client).

32. Elle rappelle que le programme fidélité établi par la société a pour but la prospection commerciale de ses adhérents, ainsi qu’il ressort des mentions d’information présentes sur le bulletin d’adhésion. La formation restreinte relève que les clients de la grande distribution, a fortiori ceux d’un programme  » fidélité « , sont des clients d’habitude retournant de façon régulière dans les mêmes magasins. Dès lors, elle considère qu’un client n’ayant pas commercé avec la société pendant plusieurs années ne doit plus être considéré comme un client actif. À titre d’illustration, tant l’ancienne norme simplifiée no 48 relative aux fichiers clients-prospects et à la vente en ligne que le récent projet de référentiel relatif aux traitements de données à caractère personnel mis en œuvre aux fins de gestion des activités commerciales recommandent que les données de clients inactifs soient conservées pendant une durée de trois ans à compter du dernier contact avec la société. Si cette durée est indicative et ne s’impose pas en tant que telle aux responsables de traitement, la formation restreinte considère qu’elle constitue une référence permettant d’apprécier une durée appropriée. En l’espèce, elle relève que cette durée est déjà conséquente dans le secteur de la grande distribution. Si les particularités des traitements mis en œuvre par la société […], et notamment l’interconnexion profonde de ses bases, peuvent justifier que cette durée de trois ans ne soit pas jugée excessive, la formation restreinte estime qu’elle ne saurait être étendue jusqu’à la durée de quatre ans initialement fixée par la société. Considérant cette finalité de prospection commerciale du traitement  » fidélité « , elle estime qu’une durée de conservation de quatre ans n’était pas strictement nécessaire à la finalité poursuivie, et donc excessive.

33. Elle relève néanmoins que la société a, avant l’engagement des procédures de contrôle, engagé un plan visant à réduire cette durée de conservation à trois ans pour l’ensemble de ses bases de données. Au regard de l’interconnexion entre les différentes bases de données de la société et de la nécessité opérationnelle de fixer une durée de conservation identique pour l’ensemble de ses données, la durée de conservation de trois ans pour les clients inactifs apparaît proportionnée à la finalité poursuivie.

34. Sur le deuxième point, la formation restreinte relève, tout d’abord, que la société reconnaît un retard dans la mise en œuvre de son programme d’effacement des données mais souligne les efforts importants fournis depuis l’engagement de la procédure pour se mettre en conformité. La formation restreinte note que la délégation de contrôle a constaté la présence de données concernant des clients inactifs depuis plus de quatre ans, et notamment plus de vingt-huit millions de clients membres du programme fidélité inactifs depuis cinq à dix ans. S’agissant des utilisateurs du site […], la formation restreinte souligne qu’étaient conservées les données de plus de 750 000 utilisateurs dont l’acte d’achat remontait de cinq à dix ans, et près de 20 000 utilisateurs dont le dernier achat remontait à plus de dix ans.

35. La formation restreinte considère donc, au vu de ces éléments, qu’un manquement à l’article 5-1-e) du RGPD est constitué.

36. La formation restreinte souligne cependant les moyens très importants, tant organisationnels que financiers, déployés par la société et constate, au jour de la séance, la conformité au Règlement des pratiques de la société. Cette dernière démontre en effet avoir mis en place un système automatisé de suppression des données de ses clients (tant du programme fidélité que du site […]) inactifs depuis plus de trois ans.

2. Les pièces d’identité conservées dans le cadre de l’exercice des droits

37. Le rapporteur reproche à la société d’avoir conservé pendant une durée d’un à six ans les pièces d’identité qui lui étaient communiquées par les personnes concernées dans le cadre de l’exercice d’un droit. Il considère que cette durée est excessive, les données étant conservées au-delà de la durée nécessaire pour l’atteinte de la finalité pour laquelle elles sont traitées.

38. Sur ce point, la société souligne la modification de ces pratiques depuis la notification du rapport de sanction, les titres d’identité n’étant plus conservés que pendant la durée relative au traitement de la demande en question.

39. La formation restreinte relève que la délégation de contrôle a effectivement constaté que des copies de cartes nationales d’identité de requérants étaient conservées par la société pendant une durée pouvant aller d’un à six ans.

40. Or, elle considère que, dès qu’il a été fait droit à la demande, la société n’a plus besoin de conserver une copie de la pièce d’identité du requérant. La fourniture de ce document a en effet pour seul but de justifier de l’identité de la personne dont émane la demande et il n’est pas nécessaire de le conserver une fois l’identité confirmée.

41. La formation restreinte estime également que, pour démontrer qu’elle a effectivement fait droit à la demande, la société peut, au titre d’un archivage intermédiaire à des fins contentieuses, ne conserver que le courrier de réponse favorable, élément dont la conservation présente, au demeurant, un risque moindre pour la personne concernée.

42. Elle considère donc, au vu de ces éléments, qu’un manquement à l’article 5-1-e) du RGPD est constitué.

43. Elle souligne néanmoins les modifications apportées dès la notification du rapport et observe que les nouvelles pratiques de la société sont, au jour de la séance, en conformité avec le Règlement. Il a en effet été démontré que les pièces d’identité sont désormais supprimées dès qu’il a été fait droit à la demande.

B. Sur le manquement relatif aux modalités d’exercice des droits

44. L’article 12 du Règlement dispose, d’une part, que  » le responsable du traitement facilite l’exercice des droits conférés à la personne concernée au titre des articles 15 à 22. Dans les cas visés à l’article 11, paragraphe 2, le responsable de traitement ne refuse pas de donner suite à la demande de la personne concernée d’exercer les droits que lui confèrent les articles 15 à 22, à moins que le responsable du traitement ne démontre qu’il n’est pas en mesure d’identifier la personne concernée  » et que  » lorsque le responsable du traitement a des doutes raisonnables quant à l’identité de la personne physique présentant la demande visée aux articles 15 à 21, il peut demander que lui soient fournies des informations supplémentaires nécessaires pour confirmer l’identité de la personne concernée « .

45. Il dispose, d’autre part, que  » le responsable du traitement fournit à la personne concernée des informations sur les mesures prises à la suite d’une demande formulée en application des articles 15 à 22, dans les meilleurs délais et en tout état de cause dans un délai d’un mois à compter de la réception de la demande. Au besoin, ce délai peut être prolongé de deux mois, compte tenu de la complexité et du nombre de demandes. Le responsable du traitement informe la personne concernée de cette prolongation et des motifs du report dans un délai d’un mois à compter de la réception de la demande.  »

46. En premier lieu, le rapporteur a relevé que, sauf dans les cas d’opposition au traitement des données à des fins de prospection commerciale, la société demandait un justificatif d’identité de manière systématique lors de l’exercice d’un droit.

47. La société a souligné, lors de ses échanges avec le rapporteur, que cette pratique a été abandonnée dès le 23 octobre 2019.

48. La formation restreinte relève que la société ne réservait pas la demande d’un justificatif d’identité aux seuls cas où existait un doute raisonnable sur l’identité de la personne, cette demande étant systématique. Elle souligne que la présence (constatée lors des contrôles) des justificatifs d’identité accompagnant les demandes, comme les courriers en réponse de la société communiqués à la CNIL par les plaignants, ont démontré l’existence de cette pratique. En effet, la CNIL a été informée d’une demande en ce sens s’agissant de Messieurs […], […], […], […], […] et […] et de Madame […] sans que la société justifie de doutes raisonnables quant à l’identité de la personne.

49. La formation restreinte considère que le caractère systématique des demandes de justificatifs d’identité, reconnu par la société, suffit à démontrer que ces demandes n’étaient pas limitées aux situations où la société avait  » des doutes raisonnables quant à l’identité de la personne physique présentant la demande « .

50. Elle considère donc, au vu de ces éléments, qu’un manquement à l’article 12 du RGPD est constitué.

51. Elle souligne néanmoins les modifications apportées par la société et constate que les nouvelles pratiques de la société sont, au jour de la séance, en conformité avec le Règlement. Il est en effet démontré que les courriers de réponse aux demandes d’exercice de droit n’exigent plus de justificatif d’identité de manière systématique.

52. En second lieu, le rapporteur reproche à la société le délai dans lequel il était répondu aux demandes d’exercice de droit. Il souligne que les délais de réponse varient mais peuvent atteindre neuf mois, sans qu’aucune information ne soit communiquée dans l’attente aux personnes concernées. Il estime que ces retards de traitement sont récurrents. À titre d’illustration, la demande de suppression et d’opposition de Madame […] a été reçue le 4 juillet 2018. Le retrait de son consentement à la prospection publicitaire a été retranscrit en base de données le 15 avril 2019, soit plus de neuf mois plus tard. La demande d’accès de Monsieur […] a été reçue le 7 novembre 2018 et une réponse lui a été apportée le 10 juin 2019, soit plus de sept mois plus tard. La demande d’accès et d’opposition de Monsieur […] a été enregistrée dans l’outil  » JIRA  » le 10 janvier 2019. Il ressort pourtant des documents communiqués à la CNIL par le plaignant que la société a accusé réception de sa première demande dès le 9 novembre 2018. Une réponse a été apportée à sa demande concernant l’opposition à la prospection le 11 juin 2019, soit plus de sept mois plus tard.

53. Sur ce point, la société reconnaît, tant dans sa deuxième réponse aux observations du rapporteur que lors de la séance de la formation restreinte, un retard chronique dans le traitement des demandes au moment du contrôle. Elle souligne cependant les efforts particulièrement importants déployés depuis les opérations de contrôle, la restructuration en profondeur de l’organisation des équipes travaillant sur ces questions, et la transformation de leurs méthodes de travail, avec notamment le développement de nouveaux outils ad hoc qui améliorent l’attribution et le traitement des demandes d’exercice de droit, réduisant leur délai de traitement ainsi que le risques d’erreur.

54. La formation restreinte observe que l’organisation de la société entraînait, structurellement, un retard dans le traitement des demandes et prend note que la société indique que cette défaillance structurelle trouvait son origine dans une mauvaise appréciation des conséquences du RGPD. L’entrée en application de ce texte a augmenté le nombre de demandes auxquelles elle a dû faire face, dans des proportions inattendues (passant, avant l’entrée en application du RGPD, d’une à deux demandes par jour à parfois plus de 75 demandes par jour après le 25 mai 2018).

55. La formation restreinte constate que ce défaut d’anticipation a eu des conséquences directes pour les personnes exerçant leurs droits, les contraignant parfois à formaliser plusieurs relances face au silence gardé par la société. La formation restreinte considère donc, au vu de ces éléments, qu’un manquement à l’article 12 du RGPD est constitué.

56. Elle souligne néanmoins les modifications profondes et efficaces apportées par la société et constate que les nouvelles pratiques de la société sont, au jour de la séance, en conformité avec le Règlement. La société démontre aujourd’hui un délai moyen de réponse aux demandes inférieur à quinze jours, parfois même inférieur à dix jours. Elle démontre également que plus aucune réponse n’a été envoyée hors délai depuis le changement de ses processus internes et le développement de nouveaux outils.

C. Sur le manquement relatif à l’information des personnes

57. L’article 12 du RGPD dispose que  » le responsable du traitement prend des mesures appropriées pour fournir toute information visée aux articles 13 et 14 […] en ce qui concerne le traitement à la personne concernée d’une façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples […] « . Les articles 13 et 14 dressent la liste des informations devant être communiquées aux personnes concernées lorsque les données à caractère personnel sont collectées directement auprès d’elles et indirectement.

1. S’agissant de l’accessibilité de l’information

58. En premier lieu, le rapporteur considère que l’information délivrée n’était pas aisément accessible.

59. S’agissant d’abord de l’information communiquée sur le site […], il relève en effet que la multiplicité des pages à consulter, des liens présents dans les différentes pages, ainsi que la redondance des informations ne permettent pas de considérer que les informations pertinentes pour les personnes sont aisément accessibles.

60. S’agissant ensuite de l’information communiquée aux personnes adhérant en ligne au programme fidélité, le rapporteur estime que les informations n’étaient pas aisément accessibles puisqu’elles étaient insérées à l’intérieur des conditions générales d’utilisation de la carte […].

61. S’agissant enfin de l’information délivrée aux personnes adhérant au programme fidélité à l’aide d’un bulletin papier, le rapporteur relève que les informations n’étaient pas non plus aisément accessibles. Il relève en effet que le bulletin résumait les mentions essentielles et renvoyait pour des mentions plus complètes, vers la page d’accueil du site […] sans plus de précisions.

62. Sur ces points, la société avance qu’une page dédiée à la protection des données était directement accessible par un lien hypertexte en pied de page, et qu’elle a modifié les mentions d’information sur son site web le 22 novembre 2019, soit préalablement à l’ouverture de la procédure de sanction et à la notification du rapport. Ces modifications importantes ont notamment consisté en la fusion de l’ensemble des mentions d’information dans un document unique, la conservation d’une page dédiée à l’exercice des différents droits, et une reformulation de l’information communiquée afin de la rendre plus lisible, plus précise et plus simple.

63. La formation restreinte relève que la société a fait le choix d’une information en plusieurs niveaux, comme le lui permet le Règlement.

64. Dans cette configuration, la formation restreinte estime particulièrement important que l’information demeure  » aisément accessible « , comme l’exige l’article 12 du Règlement. La présentation de l’information en plusieurs niveaux augmente en effet le risque que l’information soit plus difficile à trouver. Or, le considérant 39 du RGPD souligne que  » le principe de transparence exige que toute information et communication relatives au traitement de ces données à caractère personnel soient aisément accessibles, faciles à comprendre, et formulées en des termes clairs et simples « . Le considérant 58 dispose également que  » le principe de transparence exige que toute information adressée au public ou à la personne concernée soit concise, aisément accessible et facile à comprendre, et formulée en des termes clairs et simples et, en outre, lorsqu’il y a lieu, illustrée à l’aide d’éléments visuels.  »

65. En l’espèce, la formation restreinte considère, d’une part, que l’accès aux mentions d’information sur le site […] était malaisé, puisque ces dernières étaient regroupées dans l’article 3 des conditions générales d’utilisation du site […] que l’utilisateur devait donc parcourir. Il en va de même pour les mentions d’information relatives au programme de fidélité qui figuraient dans l’article 10 des conditions générales d’utilisation de la carte […].

[… passage central omis : décision trop longue pour une cellule …]

162. En conséquence, la formation restreinte considère que l’absence de mise en place de l’authentification préalable obligatoire à la suite de la découverte de la vulnérabilité – alors que cette mesure avait été identifiée et qu’elle est la seule mesure permettant d’empêcher complètement le risque – constitue un manquement à l’article 32 du Règlement.

163. La formation restreinte constate cependant que la société a mis en place une authentification obligatoire le 17 juillet 2019.

I. Sur le manquement relatif à la notification des violations de données à caractère personnel

164. L’article 33 du Règlement dispose qu’  » en cas de violation de données à caractère personnel, le responsable du traitement en notifie la violation en question à l’autorité de contrôle compétente conformément à l’article 55, dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, à moins que la violation en question ne soit pas susceptible d’engendrer un risque pour les droits et libertés des personnes physiques « .

165. Le rapporteur estime que la société a manqué à son obligation de notifier les violations de données à caractère personnel, cette obligation ressortant des circonstances de la violation et des données concernées.

166. Il ressort des constatations effectuées lors du contrôle du 11 juillet 2019 que la société a identifié et consigné une attaque informatique dont elle avait été victime le 1er juillet 2019. Cette attaque, utilisant le service d’authentification de l’application mobile du groupe, a pris la forme de 800 000 tentatives de connexion à partir de 10 000 adresses IP. Elle a abouti à 4 000 authentifications réussies et à 275 accès effectifs aux comptes de clients. Cette violation n’a pas été notifiée à la CNIL.

167. En défense, la société a indiqué que la violation était peu susceptible d’engendrer un risque pour les droits et libertés des personnes. Elle précise également que les personnes concernées n’ont subi aucun préjudice financier puisqu’aucun point de fidélité n’a été soustrait. Elle souligne qu’en toute hypothèse, les conditions générales d’utilisation de la carte […] prévoient le remboursement des cagnottes des personnes concernées en cas d’attaque par des tiers.

168. La formation restreinte rappelle qu’en cas de violation de données à caractère personnel, le principe est celui de la notification à l’autorité de contrôle. L’absence de notification n’est possible que par exception, lorsque la violation n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes. En l’espèce, la formation restreinte considère que l’analyse des risques liés à cette violation n’amène pas à faire application de cette exception à l’obligation de notification. En effet, la gravité de la violation découle de l’origine à l’évidence malveillante de cette attaque, du grand nombre de personnes concernées et de la combinaison de plusieurs données personnelles auxquelles l’attaque a permis d’accéder et qui permettent l’identification et le contact direct des personnes concernées (les comptes clients pouvant comporter notamment l’identité des personnes, leur numéro de téléphone, leur adresse électronique et leur adresse physique).

169. La formation restreinte relève que les 4 000 comptes pour lesquels aucun accès effectif n’a été constaté mais qui ont fait l’objet d’une authentification réussie doivent être regardés comme participant à l’appréciation du risque. En effet, la formation restreinte rappelle que de nombreuses personnes utilisent une combinaison d’adresse électronique et de mot de passe identique sur un très grand nombre de sites web. Il existait donc un risque sérieux que les attaquants ayant identifié un couple adresse électronique/mot de passe  » valide  » essaient de le réutiliser sur d’autres sites web (technique appelée credential stuffing). Le risque existait également que, disposant désormais de plusieurs informations sur les personnes concernées et leurs relations avec les sociétés du groupe […], les attaquants tentent d’usurper l’identité d’une de ces sociétés dans des courriels malveillants et trompeurs (hameçonnage). Ces comptes doivent donc être considérés comme concernés par la violation.

170. En conséquence, la formation restreinte considère qu’un manquement à l’article 33 du RGPD est constitué.

171. Elle souligne néanmoins que, malgré une divergence d’appréciation avec le rapporteur et dans un objectif de conformité, la société a notifié la violation à la CNIL le 19 juillet 2020 et était ainsi en conformité au jour de la séance.

J. Sur le manquement relatif aux cookies

172. L’article 82 de la loi informatique et libertés (article 32.II dans une rédaction identique au jour des constatations) impose que les utilisateurs soient informés et que leur consentement soit recueilli avant toute opération d’accès ou d’inscription à des informations déjà stockées dans son équipement. Tout dépôt de cookie ou autres traceurs doit donc être précédé de l’information et du consentement des personnes. Cette exigence ne s’applique pas aux cookies ayant  » pour finalité exclusive de permettre ou faciliter la communication par voie électronique  » ou étant  » strictement nécessaire à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur « .

173. Le rapporteur considère que la société ne respectait pas ces dispositions dès lors qu’il ressort du contrôle en ligne du 24 mai 2019 qu’en arrivant site web […] plusieurs cookies ne rentrant pas dans les deux cas rappelés ci-avant étaient déposés sur le terminal de l’utilisateur dès la connexion à la page d’accueil du site et avant toute action de sa part.

174. La société ne conteste pas ces éléments.

175. La formation restreinte relève qu’en l’espèce, le dépôt de trente-neuf cookies était automatique dès l’arrivée sur la page d’accueil du site, et avant tout action de l’utilisateur. Parmi ces trente-neuf cookies, trois appartenaient à la solution Google Analytics (cookies  » _gid « ,  » _ga  » et  » _gat_gtag_UA_3928615_46 « ).

176. S’agissant de ces trois cookies, dits Google analytics, la formation restreinte souligne qu’il ne fait pas débat que les données collectées par ces cookies peuvent être recoupées avec des données issues d’autres traitements pour poursuivre des finalités différentes que celles limitativement prévues par l’article 82 de la loi  » informatique et libertés « , notamment pour mener à bien de la publicité personnalisée. En effet, il ressort du guide pratique  » Association des comptes Analytics et Google Ads « , mis en ligne sur un des sites de la société Google, que  » l’intégration de Google Analytics dans Google Ads (…) permet [aux annonceurs] de savoir précisément dans quelle mesure [leurs] annonces se traduisent par des conversions, puis d’ajuster rapidement les créations et les enchères en conséquence. [Les annonceurs peuvent] également combiner les produits afin d’identifier [leurs] segments les plus intéressants, puis susciter l’intérêt de ces utilisateurs à l’aide de messages personnalisés « .

177. Dès lors, ces cookies n’ont pas pour finalité exclusive de permettre ou de faciliter la communication par voie électronique et ne sont pas strictement nécessaires à la fourniture du service. Leur dépôt aurait donc dû obliger la société à recueillir préalablement le consentement des utilisateurs.

178. La formation restreinte considère, en conséquence, qu’un manquement à l’article 82 de la loi no 78-17 du 6 janvier 1978 est constitué. Elle considère également que ce manquement a concerné un grand nombre de personnes, à savoir tous les visiteurs du site […].

179. La formation restreinte souligne néanmoins que la société a apporté d’importantes modifications sur son site web durant la procédure de sanction. Ces modifications ont amené, notamment, à l’arrêt du dépôt automatique de cookies à l’arrivée sur la page d’accueil du site depuis le 5 février 2020.

III. Sur les mesures correctrices et la publicité

180. Aux termes du III de l’article 20 de la loi du 6 janvier 1978 :

 » Lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l’informatique et des libertés peut également, le cas échéant après lui avoir adressé l’avertissement prévu au I du présent article ou, le cas échéant en complément d’une mise en demeure prévue au II, saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l’une ou de plusieurs des mesures suivantes : […]

7° À l’exception des cas où le traitement est mis en œuvre par l’État, une amende administrative ne pouvant excéder 10 millions d’euros ou, s’agissant d’une entreprise, 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l’article 83 du règlement (UE) 2016/679 du 27 avril 2016, ces plafonds sont portés, respectivement, à 20 millions d’euros et 4 % dudit chiffre d’affaires. La formation restreinte prend en compte, dans la détermination du montant de l’amende, les critères précisés au même article 83.  »

181. L’article 83 du RGPD prévoit :

 » 1. Chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour des violations du présent règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives.

2. Selon les caractéristiques propres à chaque cas, les amendes administratives sont imposées en complément ou à la place des mesures visées à l’article 58, paragraphe 2, points a) à h), et j). Pour décider s’il y a lieu d’imposer une amende administrative et pour décider du montant de l’amende administrative, il est dûment tenu compte, dans chaque cas d’espèce, des éléments suivants :

a) la nature, la gravité et la durée de la violation, compte tenu de la nature, de la portée ou de la finalité du traitement concerné, ainsi que du nombre de personnes concernées affectées et le niveau de dommage qu’elles ont subi ;

b) le fait que la violation a été commise délibérément ou par négligence ;

c) toute mesure prise par le responsable du traitement ou le sous-traitant pour atténuer le dommage subi par les personnes concernées ;

d) le degré de responsabilité du responsable du traitement ou du sous-traitant, compte tenu des mesures techniques et organisationnelles qu’ils ont mises en œuvre en vertu des articles 25 et 32 ;

e) toute violation pertinente commise précédemment par le responsable du traitement ou le sous-traitant ;

f) le degré de coopération établi avec l’autorité de contrôle en vue de remédier à la violation et d’en atténuer les éventuels effets négatifs ;

g) les catégories de données à caractère personnel concernées par la violation ;

h) la manière dont l’autorité de contrôle a eu connaissance de la violation, notamment si, et dans quelle mesure, le responsable du traitement ou le sous-traitant a notifié la violation ;

i) lorsque des mesures visées à l’article 58, paragraphe 2, ont été précédemment ordonnées à l’encontre du responsable du traitement ou du sous-traitant concerné pour le même objet, le respect de ces mesures ;

j) l’application de codes de conduite approuvés en application de l’article 40 ou de mécanismes de certification approuvés en application de l’article 42 ; et

k) toute autre circonstance aggravante ou atténuante applicable aux circonstances de l’espèce, telle que les avantages financiers obtenus ou les pertes évitées, directement ou indirectement, du fait de la violation.  »

182. Sur les injonctions et la conformité, la formation restreinte souligne que la société a corrigé l’ensemble des manquements relevés dans le rapport de sanction au cours de la procédure. Sa conformité étant démontrée à ce jour, la formation restreinte considère qu’aucune injonction ne se justifie.

183. Sur le prononcé d’une amende et son montant, la formation restreinte estime que, dans le cas d’espèce, les manquements précités justifient que soit prononcée une amende administrative à l’encontre de la société.

184. Concernant l’amende proposée par le rapporteur, la société soutient d’abord que le montant de l’amende proposée est excessif, plusieurs manquements n’étant, selon elle, pas constitués. Sur ce point, la formation restreinte considère que l’ensemble des manquements relevés par le rapporteur sont caractérisés en l’espèce, comme elle l’a détaillé précédemment dans les motifs de la décision.

185. La société soutient ensuite que les facteurs d’atténuation posés par l’article 83 du Règlement doivent amener à réduire le montant proposé par le rapporteur et que l’important travail de mise en conformité opéré doit être pris en compte.

186. La formation restreinte analyse les critères dressés par l’article 83 de la manière suivante.

187. S’agissant de la nature, de la gravité et de la durée de la violation, elle considère que ce critère est particulièrement caractérisé pour plusieurs manquements, notamment ceux relatifs aux durées de conservation des données personnelles, aux modalités d’exercice de droit et au dépôt de cookies. S’agissant du manquement relatif au droit à l’effacement et à l’opposition à la prospection, la formation restreinte relève le caractère résiduel de ces cas au regard du nombre important de demandes d’effacement auxquelles le responsable de traitement a fait face depuis l’entrée en application du RGPD. Elle souligne que le nombre de plaintes reçues par la Commission est limité et résulte, à chaque fois, de défaillances isolées. Elle reconnaît les modifications apportées par la société pour se mettre en conformité sur ce point ainsi que pour internaliser la prise en compte de l’opposition des personnes et améliorer le traitement des demandes et le respect des droits. S’agissant du manquement relatif à la sécurité des données, la formation restreinte estime que la gravité de ce manquement est atténuée par la mise en œuvre rapide de mesures limitant pour partie la survenance du risque. S’agissant enfin de l’opposition à la prospection par voie électronique, la formation restreinte note que l’incident était ponctuel. Concernant le nombre de personnes concernées, ce critère est particulièrement aggravant pour le manquement relatif à la durée de conservation des données, qui a concerné plusieurs millions de personnes, pour l’information, puisque chaque personne ayant adhéré au programme fidélité ou ayant créé un compte sur le site […] a été concernée, et pour le manquement relatif aux cookies, puisque des cookies ont été déposés sans consentement sur le terminal des 1,7 millions de visiteurs unique du site. Ce critère est, en revanche atténuant s’agissant des difficultés rencontrées lors de l’exercice du droit d’accès (trois personnes concernées), du droit à l’effacement des données (quatre personnes concernées), du droit d’opposition (deux personnes concernées) et de l’opposition à la prospection par voie électronique (350 personnes concernées sur les 350 000 personnes ciblées par la campagne). Sur l’ensemble des manquements, la formation restreinte considère le niveau de dommage subi comme peu important.

188. La formation restreinte relève que la plupart des manquements résultent de négligences, d’erreurs ponctuelles ou d’un manque d’anticipation des conséquences de l’entrée en application du Règlement.

189. S’agissant des mesures prises par le responsable du traitement pour atténuer le dommage subi par les personnes concernées, la formation restreinte note la parfaite coopération de la société tout au long de la procédure de sanction et les efforts très importants engagés afin d’atteindre une conformité totale au jour de la séance. Elle relève que l’ensemble des manquements ont été corrigés à ce jour.

190. S’agissant du degré de coopération avec l’autorité de contrôle, la formation restreinte constate la parfaite coopération de la société, tant dans la facilitation des investigations de la CNIL que dans la prise en compte, avant même la décision de la formation restreinte, des observations du rapporteur. Elle relève également que la société s’est conformée à l’analyse juridique du rapporteur sur l’ensemble des manquements relevés, même dans les cas où une divergence d’opinion demeurait.

191. S’agissant des catégories de données à caractère personnel concernées, la formation restreinte relève qu’aucune donnée sensible n’était concernée par les traitements.

192. S’agissant de la manière dont l’autorité de contrôle a eu connaissance de la violation, la formation restreinte relève que des plaintes sont, pour nombre de manquements, à l’origine de son action.

193. S’agissant des avantages tirés des manquements, la formation restreinte estime que la société n’en a tiré aucun avantage financier. Elle a démontré notamment que, même lorsque les durées de conservation des données étaient dépassées, elles ne pouvaient pas être utilisées à des fins de prospection. Elle a en outre engagé des moyens financiers conséquents pour se mettre en conformité pendant la procédure de sanction.

194. En conclusion, la formation restreinte relève le nombre et la gravité des manquements à certaines obligations essentielles d’un responsable de traitement, comme l’information ou le respect des droits des personnes. Elle relève également que certains manquements étaient structurels. Tel était le cas, par exemple, du sous-dimensionnement des moyens engagés pour répondre aux demandes d’exercice de droit, entraînant de manière récurrente des délais de réponse anormalement longs sans que les personnes soient informées du traitement de leur demande, ou le retard pris dans la purge des données à caractère personnel dont la durée de conservation était expirée. Sur ces points, la formation restreinte souligne également le nombre particulièrement important de personnes concernées au regard des plusieurs dizaines de millions de clients dont les données personnelles figurent dans les bases de données de la société. La formation restreinte note enfin que les manquements ont été portés à son attention en raison d’un grand nombre de plaintes reçues par la CNIL concernant ce responsable de traitement. Ce volume important de plaintes est d’ailleurs à l’origine de la décision de diligenter un contrôle à l’encontre de cette société.

195. Dès lors, la formation restreinte considère qu’une amende doit être prononcée.

196. Sur l’assiette de l’amende, la société conteste en outre le mode de calcul de l’assiette de la sanction.

197. Sur ce point, la formation restreinte rappelle que l’article 83-5 du Règlement dispose que le montant des amendes prononcées pour les manquements retenus peut s’élever  » dans le cas d’une entreprise, jusqu’à 4 % du chiffre d’affaires annuel mondial total de l’exercice précédent « . Elle souligne que le considérant 150 du Règlement précise que  » lorsque des amendes administratives sont imposées à une entreprise, ce terme doit, à cette fin, être compris comme une entreprise conformément aux articles 101 et 102 du traité sur le fonctionnement de l’Union européenne « . La formation restreinte considère donc que le Règlement fait u