Protection des données sensibles : clôture du contrôle après mise en conformité

L’autorité clôt la mise en demeure et la procédure de contrôle après avoir pris acte des mesures correctrices déployées par la société, notamment pour recueillir le consentement des personnes au traitement de leurs données sensibles.

Au titre de l’article 32 de la loi Informatique et Libertés, les mentions d’information doivent être accessibles directement sur la page de collecte et préciser l’identité du responsable de traitement, la finalité poursuivie, le caractère facultatif ou obligatoire des réponses ainsi que les droits des utilisateurs. Une information distincte doit également porter sur le consentement au traitement des données sensibles.

La clôture n’exclut pas une intervention ultérieure. En cas de persistance ou de réitération des manquements, une procédure de sanction peut être engagée conformément aux articles 45 et suivants de la loi du 6 janvier 1978 modifiée, avec désignation possible d’un rapporteur, sans nouvelle mise en demeure préalable.

⬇️Télécharger la décision version officielle

Après une mise en demeure, la société a déployé des mesures pour recueillir le consentement au traitement de données sensibles et ajouté les mentions d’information requises sur son site. L’autorité a toutefois rappelé que ces informations doivent être directement visibles sur la page de collecte et distinguer le consentement relatif aux données sensibles. Elle a clôturé le dossier et la procédure de contrôle, sous réserve d’éventuels manquements persistants ou réitérés.

L’autorité avait mis en demeure une société à la suite d’une procédure de contrôle portant sur le traitement de données personnelles. La société a transmis des éléments de réponse et déployé des mesures destinées à recueillir le consentement des personnes au traitement de leurs données sensibles, avec une extension prévue à ses applications mobiles.

Elle a également ajouté sur son site internet les mentions d’information prévues par l’article 32 de la loi Informatique et Libertés. L’autorité relève toutefois que ces informations doivent être visibles directement sur la page de collecte et qu’une mention distincte doit préciser le recueil du consentement relatif aux données sensibles.

Après examen de ces éléments, l’autorité clôt le dossier et la procédure de contrôle, tout en indiquant qu’une persistance ou une réitération des manquements pourrait entraîner une procédure de sanction sans nouvelle mise en demeure préalable.

• Transmettre des éléments de réponse à l’autorité
• Mettre en œuvre le recueil du consentement aux données sensibles
• Déployer les mesures correctrices sur les applications concernées
• Afficher les mentions d’information directement sur la page de collecte
• Prévoir une information distincte sur le consentement aux données sensibles
• Éviter la persistance ou la réitération des manquements

• Éléments de réponse transmis à l’autorité
• Mesures mises en œuvre pour recueillir le consentement
• Ajout des mentions d’information sur le site internet
• Prévision du déploiement des mesures sur les applications mobiles

La société bénéficie de la clôture de son dossier et de la procédure de contrôle après la mise en œuvre de mesures correctrices. Cette clôture demeure conditionnelle dans ses effets pratiques, car la persistance ou la réitération des manquements peut entraîner une sanction sans nouvelle mise en demeure.

• Clôture du dossier de contrôle
• Maintien d’une information visible sur chaque page de collecte
• Ajout d’une mention distincte sur les données sensibles
• Prévention d’une nouvelle constatation des manquements
• Risque de désignation d’un rapporteur en cas de réitération

À faire

• Afficher l’identité du responsable de traitement
• Préciser la finalité du traitement
• Indiquer le caractère obligatoire ou facultatif des réponses
• Présenter les droits des utilisateurs sur la page de collecte
• Distinguer l’information relative aux données sensibles

À éviter

• Masquer les mentions d’information hors de la page de collecte
• Confondre information générale et consentement aux données sensibles
• Laisser perdurer les manquements constatés
• Réitérer les pratiques visées par la mise en demeure
• Négliger les vérifications sur les applications mobiles

La clôture d’une procédure de contrôle après mise en conformité

La procédure de contrôle est clôturée après prise en compte des mesures déployées pour recueillir le consentement au traitement des données sensibles et des éléments de réponse transmis par la société. Cette clôture n’empêche pas des vérifications ultérieures.

Les mentions d’information prévues par l’article 32

Les informations doivent être visibles directement sur la page de collecte. Elles portent notamment sur l’identité du responsable de traitement, la finalité, le caractère facultatif ou obligatoire des réponses et les droits des utilisateurs. Une mention distincte doit informer sur le consentement au traitement des données sensibles.

La sanction des manquements persistants après mise en demeure

La persistance ou la réitération des manquements peut conduire à une procédure de sanction conformément aux articles 45 et suivants de la loi du 6 janvier 1978 modifiée. Un rapporteur peut être désigné et notifié sans nouvelle mise en demeure préalable.

Article 32 de la loi Informatique et Libertés, Articles 45 et suivants de la loi du 6 janvier 1978 modifiée