Sanction CNIL pour défaut d’autorisation, conservation excessive et sécurité insuffisante des données

La formation restreinte retient la persistance de plusieurs manquements à la loi n° 78-17 du 6 janvier 1978 malgré une mise en demeure prolongée. Le traitement destiné à prévenir la fraude à la carte bancaire relevait de l’autorisation préalable prévue par l’article 25-I-4°. La désignation d’un correspondant informatique et libertés ne dispensait pas la société d’accomplir cette formalité dans le délai imparti.

Le principe de limitation de la conservation posé par l’article 6-5° n’était pas respecté : la durée de cinq ans dépassait celle prévue par la norme simplifiée n° 48 et aucune purge n’avait été réalisée à l’échéance. La formation restreinte constate également une information insuffisamment claire sur le paramétrage des cookies, en méconnaissance de l’article 32-II. Elle ne retient toutefois pas le grief relatif au dépôt préalable des cookies publicitaires, faute d’être suffisamment éclairée sur la répartition des responsabilités entre l’éditeur, les annonceurs et les régies.

L’absence de protocole sécurisé sur les pages collectant des données caractérisait une violation de l’article 34. Les transferts vers des États extérieurs à l’Union européenne, poursuivis sans demande préalable ni décision de la CNIL fondée sur l’article 69, méconnaissaient les articles 68 et 69. Les corrections intervenues après l’expiration du délai n’effacent pas les manquements constitués à cette date.

Compte tenu du nombre, de la gravité et de la persistance des manquements, une sanction pécuniaire de 30 000 euros est prononcée et rendue publique.

⬇️Télécharger la décision version officielle

Après une première mise en demeure, un contrôle a révélé la persistance de manquements concernant le traitement antifraude, la conservation des données, les cookies, la sécurité des échanges et les transferts internationaux. La société n’avait pas régularisé certaines autorisations, durées de conservation et garanties exigées. Plusieurs manquements ont été retenus, à l’exception du grief relatif au consentement préalable aux cookies, puis une sanction pécuniaire et la publication de la décision ont été prononcées.

La société X exploite un site de vente en ligne et traite les données de nombreux comptes clients. Après un premier contrôle, la CNIL lui a enjoint de régulariser plusieurs traitements : prévention de la fraude, conservation des données, cookies, sécurité des échanges, accès aux données et transferts hors de l’Union européenne.

Un délai supplémentaire lui a été accordé. La société a déclaré s’être mise en conformité, mais un nouveau contrôle a révélé l’absence de demande d’autorisation pour le traitement antifraude, l’absence de purge et des durées de conservation excessives. Le site déposait aussi des cookies publicitaires sans information suffisamment précise sur leur paramétrage, utilisait le protocole HTTP sur des pages sensibles et poursuivait certains transferts internationaux sans garanties validées.

La formation restreinte retient plusieurs manquements persistants, écarte le grief relatif au consentement préalable aux cookies faute d’éléments suffisants sur les responsabilités respectives, puis prononce une sanction pécuniaire et la publication de la décision.

• Traitement susceptible d’exclure des personnes d’un droit ou contrat.
• Absence de demande d’autorisation dans le délai fixé.
• Durées de conservation supérieures aux finalités et à la norme applicable.
• Absence de purge à l’expiration du délai de conformité.
• Information cookies insuffisamment claire sur les modalités d’opposition.
• Absence de chiffrement et d’authentification des échanges sensibles.
• Transferts hors Union européenne sans garanties adéquates ni décision préalable.

• Procès-verbal du contrôle sur place du 13 janvier 2015.
• Procès-verbal du contrôle sur place du 18 février 2016.
• Procès-verbal du contrôle en ligne du 1er mars 2016.
• Registre du correspondant informatique et libertés.
• Constatations relatives aux cookies publicitaires déposés dès la page d’accueil.
• Contrats de sous-traitance et absence de clauses contractuelles adéquates.

La société supporte une sanction de 30 000 euros ainsi que la publicité de la décision en raison de manquements persistants. Les mesures correctives prises après l’expiration du délai de mise en demeure ne neutralisent pas les violations déjà constituées.

• Sanction pécuniaire de 30 000 euros pour la société.
• Publication de la décision auprès du public.
• Régularisation nécessaire des traitements soumis à autorisation.
• Purge et limitation effective des données conservées.
• Sécurisation des échanges et encadrement des transferts internationaux.

À faire

• Déposer les demandes d’autorisation avant tout traitement concerné.
• Définir les durées de conservation par finalité.
• Organiser et documenter la purge des données.
• Recueillir un consentement préalable pour les cookies concernés.
• Chiffrer les échanges et encadrer les transferts internationaux.

À éviter

• Confondre la désignation d’un CIL avec une autorisation CNIL.
• Fixer une durée de conservation générale de cinq ans.
• Déclarer une conformité sans justificatifs vérifiables.
• Déposer des cookies publicitaires dès l’arrivée sur le site.
• Poursuivre des transferts sans garanties ni décision préalable.

Les formalités préalables des traitements soumis à autorisation

L’article 25-I-4° de la loi du 6 janvier 1978 impose une autorisation de la CNIL pour les traitements susceptibles d’exclure une personne d’un droit, d’une prestation ou d’un contrat. La désignation d’un correspondant informatique et libertés ne remplace pas cette formalité. Le dépôt tardif d’une demande, après l’expiration du délai fixé par la mise en demeure, demeure sans incidence sur le manquement constitué.

La limitation de la conservation des données personnelles

L’article 6-5° exige une conservation n’excédant pas la durée nécessaire aux finalités poursuivies. L’engagement de conformité à la norme simplifiée n° 48 imposait notamment une durée de trois ans pour la prospection après la fin de la relation commerciale. La société n’avait ni défini des durées conformes ni purgé sa base à l’échéance. Les mesures correctives postérieures ne remettent pas en cause le manquement.

La sécurité et les transferts internationaux de données

L’article 34 impose des précautions adaptées pour empêcher l’accès non autorisé aux données ; l’absence de protocole sécurisé sur les pages sensibles caractérise le manquement. Les articles 68 et 69 soumettent les transferts vers des États n’assurant pas un niveau suffisant de protection à des garanties adéquates et, selon le cas, à une décision préalable de la CNIL. La poursuite des flux sans demande ni décision caractérise la violation.

Article 25-I-4° de la loi n° 78-17 du 6 janvier 1978, Article 6-5° de la loi n° 78-17 du 6 janvier 1978, Article 32-II de la loi n° 78-17 du 6 janvier 1978, Article 34 de la loi n° 78-17 du 6 janvier 1978, Articles 68 et 69 de la loi n° 78-17 du 6 janvier 1978, Article 46 de la loi n° 78-17 du 6 janvier 1978