Protection des données : portée de la clôture d’une mise en demeure et risque de sanction

L’autorité clôt en l’état le dossier et les procédures de contrôle après avoir pris en compte les éléments de réponse transmis par l’organisme. Cette clôture n’équivaut pas à une validation définitive de la conformité : elle demeure susceptible d’être remise en cause si des manquements persistent ou sont réitérés lors de vérifications ultérieures.

L’article 32 de la loi Informatique et Libertés impose l’insertion de mentions d’information sur les formulaires collectant des données à caractère personnel. L’autorité relève leur ajout sur les formulaires d’inscription et de renseignement de profil, mais rappelle que le formulaire de contact est également concerné.

En application des articles 45 et suivants de la loi du 6 janvier 1978 modifiée, une procédure de sanction peut être engagée en cas de persistance ou de réitération des manquements, sans nouvelle mise en demeure préalable. La désignation éventuelle d’un rapporteur doit alors être notifiée à l’organisme.

⬇️Télécharger la décision version officielle

Après une mise en demeure, la société a ajouté les mentions d’information prévues par l’article 32 de la loi Informatique et Libertés sur plusieurs formulaires. L’autorité a clôturé en l’état le dossier et les procédures de contrôle, mais a relevé que le formulaire de contact devait encore comporter cette mention. Une réitération pourrait entraîner une procédure de sanction.

L’autorité avait mis en demeure une société à la suite de manquements relevés dans le cadre de plusieurs procédures de contrôle.

Après cette mise en demeure, la société a transmis des éléments de réponse et ajouté sur son site internet les mentions d’information prévues par l’article 32 de la loi Informatique et Libertés sur les formulaires d’inscription et de renseignement de profil.

L’autorité a décidé de clôturer en l’état le dossier et les procédures de contrôle. Elle a toutefois constaté que le formulaire de contact, qui nécessite également la collecte de données personnelles, devait encore comporter cette mention.

Elle a enfin indiqué que la persistance ou la réitération des manquements lors de vérifications ultérieures pourrait conduire à l’engagement d’une procédure de sanction, sans nouvelle mise en demeure préalable.

• Transmission d’éléments de réponse après la mise en demeure.
• Ajout des mentions d’information sur les formulaires concernés.
• Collecte de données personnelles via le formulaire de contact.
• Vérification ultérieure de la persistance ou de la réitération des manquements.
• Notification de la désignation éventuelle d’un rapporteur.

• Éléments de réponse transmis par l’organisme.
• Présence des mentions d’information sur le site internet.
• Formulaires d’inscription et de renseignement de profil.
• Formulaire de contact recueillant des données personnelles.
• Résultats des procédures de contrôle mentionnées.

La société bénéficie d’une clôture en l’état de son dossier, sans que cette clôture garantisse une conformité définitive. Elle reste exposée à une procédure de sanction si les manquements persistent ou se répètent lors de contrôles ultérieurs.

• Maintien de la clôture du dossier et des contrôles concernés
• Ajout de la mention d’information au formulaire de contact
• Vérification régulière de tous les formulaires en ligne
• Conservation des éléments démontrant la mise en conformité
• Anticipation d’une procédure de sanction sans nouvelle mise en demeure

À faire

• Recenser tous les formulaires collectant des données personnelles.
• Ajouter la mention de l’article 32 au formulaire de contact.
• Contrôler l’affichage effectif des mentions sur le site.
• Conserver les réponses et justificatifs de mise en conformité.
• Surveiller la persistance ou la réitération des manquements.

À éviter

• Limiter l’information aux seuls formulaires d’inscription.
• Omettre le formulaire de contact du contrôle de conformité.
• Considérer la clôture comme une validation définitive.
• Réitérer les manquements constatés après la clôture.
• Attendre une nouvelle mise en demeure avant de corriger.

Les mentions d’information de l’article 32

L’article 32 de la loi Informatique et Libertés est applicable aux formulaires d’inscription, de renseignement de profil et de contact dès lors qu’ils recueillent des données à caractère personnel. L’ajout des mentions sur certains formulaires a été relevé, mais l’autorité a identifié la nécessité de les intégrer également au formulaire de contact.

La clôture en l’état d’une procédure de contrôle

La clôture en l’état intervient après examen des éléments de réponse transmis par l’organisme. Elle ne constitue pas une validation définitive de la conformité : l’autorité maintient la possibilité de vérifier ultérieurement la persistance ou la réitération des manquements.

Les conditions d’une procédure de sanction

Les articles 45 et suivants de la loi du 6 janvier 1978 modifiée permettent l’engagement d’une procédure de sanction si les manquements persistent ou se répètent lors de vérifications ultérieures. Une nouvelle mise en demeure n’est alors pas nécessaire ; la désignation d’un rapporteur doit être notifiée à l’organisme.

Article 32 de la loi Informatique et Libertés, Articles 45 et suivants de la loi du 6 janvier 1978 modifiée