L’essentiel
Le bureau justifie la publicité par la nature du manquement, le nombre élevé de personnes concernées et les caractéristiques du traitement. Le défaut de recueil d’un consentement spécifique pour l’affichage des données à la journée et à la demi-heure, ainsi que pour l’envoi de conseils personnalisés, ne permet pas de considérer ce consentement comme valable.
La publicité poursuit également une fonction d’information des clients et prospects sur les manquements constatés, les mesures demandées et les droits dont ils disposent. Elle vise notamment à rappeler que les données issues des compteurs peuvent révéler des éléments de vie privée.
La mise en demeure ne constitue pas une sanction. Si l’organisme satisfait intégralement aux exigences dans le délai de trois mois suivant sa notification, la procédure est clôturée et cette clôture est elle-même rendue publique.
En résumé
- Publicité de la mise en demeure décidée par le bureau de la CNIL
- Consentement spécifique requis pour chaque finalité d’affichage et de conseil
- Contrôles et procès-verbaux établissant les manquements au RGPD
- Nombre élevé de personnes concernées justifiant l’information publique
- Mise en demeure non sanctionnatrice, avec clôture en cas de conformité
Contexte de l’affaire
Le contrôle, réalisé au moyen de deux procès-verbaux, a conduit à relever l’absence de recueil spécifique du consentement pour l’affichage des données à la journée et à la demi-heure, ainsi que pour la réception de conseils personnalisés.
Le bureau de la CNIL a été saisi afin de décider de la publicité de cette mise en demeure. Il a retenu la nature du manquement, le nombre très élevé de personnes concernées et les caractéristiques du traitement. Il a décidé de rendre publique la mise en demeure, en rappelant qu’elle ne constitue pas une sanction et qu’une mise en conformité complète entraîne la clôture de la procédure.
Conditions / critères (ce que le juge vérifie)
- Constater un manquement aux exigences du RGPD
- Vérifier l’absence de consentement spécifique pour chaque traitement concerné
- Prendre en compte la nature du manquement
- Évaluer le nombre de personnes concernées
- Examiner les caractéristiques du traitement mis en œuvre
- Permettre une information des clients et prospects sur les droits concernés
Preuves retenues (ce qui a fait pencher la décision)
- Procès-verbal de contrôle n° 2019-023/1 du 11 mars 2019
- Procès-verbal de contrôle n° 2019-023/2 du 12 mars 2019
- Absence de consentement spécifique pour l’affichage à la journée
- Absence de consentement spécifique pour l’affichage à la demi-heure
- Absence de consentement spécifique pour les conseils personnalisés
- Projet d’installation de 35 millions de compteurs communicants LINKY
Conséquences pratiques
- Publicité de la mise en demeure auprès du public
- Recueil d’un consentement spécifique pour chaque finalité
- Information des clients sur les modalités de traitement
- Prise en compte des données révélant des éléments de vie privée
- Clôture publique en cas de conformité intégrale dans le délai
Checklist pour Avocats
À faire
- Identifier chaque finalité d’utilisation des données LINKY
- Recueillir un consentement distinct et spécifique
- Vérifier l’affichage à la journée et à la demi-heure
- Contrôler le consentement aux conseils personnalisés
- Respecter le délai de trois mois suivant la notification
À éviter
- Regrouper plusieurs finalités sous un consentement général
- Afficher les données sans accord spécifique
- Présumer la validité du consentement recueilli
- Négliger les informations révélant la vie privée
- Omettre d’informer les clients et prospects
FAQ / Q-R juridiques
Le consentement spécifique aux traitements de données
La société ne recueillait pas spécifiquement le consentement des personnes pour l’affichage des données à la journée, à la demi-heure et pour la réception de conseils personnalisés. Le bureau en déduit que le consentement recueilli n’était pas valable au regard du RGPD.
Les critères de publicité d’une mise en demeure
Sur le fondement du dernier alinéa du II de l’article 20 de la loi n° 78-17 du 6 janvier 1978, la publicité est justifiée par la nature du manquement au RGPD, le nombre de personnes concernées et les caractéristiques du traitement. Elle permet d’informer les clients et prospects des manquements et des mesures demandées.
La nature non sanctionnatrice de la mise en demeure
La mise en demeure ne constitue pas une sanction. Aucune suite n’est donnée si l’organisme respecte intégralement les exigences dans le délai imparti ; la clôture de la procédure est alors également rendue publique.
Textes cités
RGPD & protection des données
Approfondir ce sujet :