Délibération de la formation restreinte no SAN-2023-015 du 12 octobre 2023 concernant la société […]

La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Alexandre LINDEN, président, M. Philippe-Pierre CABOURDIN, vice-président, Mme Christine MAUGÜÉ et MM. Alain DRU et Bertrand du MARAIS, membres ;

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;

Vu la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques ;

Vu la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;

Vu le décret no 2019-536 du 29 mai 2019 pris pour l’application de la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;

Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;

Vu les saisines n° […] ;

Vu la décision n° 2021-017C du 21 janvier 2021 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements mis en œuvre par la société […] ou pour son compte, en tout lieu susceptible d’être concerné par leur mise en œuvre ;

Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte, en date du 9 mars 2023 ;

Vu le rapport de Mme Valérie PEUGEOT, commissaire rapporteure, notifié à la société […] le 11 mai 2023 ;

Vu les observations écrites versées par la société […] le 12 juin 2023 ;

Vu les observations orales formulées lors de la séance de la formation restreinte du 14 septembre 2023 ;

Vu les autres pièces du dossier ;

Étaient présents, lors de la séance de la formation restreinte :

– Mme Valérie PEUGEOT, commissaire, entendue en son rapport ;

En qualité de représentants de la société […] :

– […].

La société […] ayant eu la parole en dernier ;

La formation restreinte a adopté la décision suivante :

I. Faits et procédure

1. Fondée en 1998 en France, la société […] (ci-après la  » société « ) est spécialisée dans […]. En 2021, […] employait environ 3 223 employés en France et avait réalisé, pour l’année 2022, un chiffre d’affaires de 1 851 312 842 euros.

2. La société propose un service […].

3. Entre les mois de novembre 2019 et janvier 2021, la Commission nationale de l’informatique et des libertés (ci-après  » la CNIL  » ou  » la Commission « ) a été saisie de 31 plaintes, portant notamment sur la prospection par voie téléphonique, la transmission de données bancaires et de l’exercice des droits. Cinq de ces plaintes ont été retenues dans le cadre de la présente procédure.

4. En application de la décision n° 2021-017C du 21 janvier 2021 de la présidente de la Commission, une délégation de la CNIL a effectué plusieurs contrôles auprès de la société afin de vérifier le respect des dispositions de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après  » la loi Informatique et Libertés  » ou  » loi du 6 janvier 1978 « ) et du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données (ci-après le  » Règlement  » ou  » RGPD « ).

5. Ainsi, le 26 janvier 2021, la délégation a procédé à une mission de contrôle en ligne des traitements mis en œuvre par la société ou pour son compte, sur le site web […]. Ce contrôle a donné lieu à un procès-verbal n° 2021-017/1, notifié le même jour à la société.

6. Le 25 février 2021, la délégation a envoyé un questionnaire à la société, auquel cette dernière a répondu le 26 mars 2021, portant sur son organisation, sur les traitements de données à caractère personnel qu’elle met en œuvre, sur sa qualification en tant que responsable de traitement, sur ses relations avec ses clients et partenaires et sur sa gestion des demandes d’exercice des droits.

7. D’avril 2021 à janvier 2022, la délégation de contrôle a adressé plusieurs demandes complémentaires à la société, laquelle a répondu en fournissant les éléments sollicités.

8. Le 9 mars 2023, la présidente de la Commission a, sur le fondement de l’article 22 de la loi du 6 janvier 1978, désigné Mme Valérie PEUGEOT en qualité de rapporteure aux fins d’instruction de ces éléments.

9. Le 30 mars 2023, la rapporteure a adressé une demande complémentaire à laquelle la société a répondu le 6 avril 2023.

10. Le 11 mai 2023, à l’issue de son instruction, la rapporteure a fait notifier à la société un rapport détaillant les manquements aux articles 12, 13, 14, 15, 28, 32 et 33 du RGPD et à l’article L. 34-5 du code des postes et des communications électroniques (ci-après  » le CPCE « ) qu’elle estimait constitués en l’espèce.

11. Le 12 juin 2023, la société a produit des observations en réponse au rapport de la rapporteure.

12. Par courrier du 4 juillet 2023, la rapporteure a, en application de l’article 40, III, du décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi Informatique et Libertés, informé la société que l’instruction était close.

13. Par courrier du 11 juillet 2023, la société a sollicité qu’un huis clos soit prononcé pour la séance de la formation restreinte. Cette demande a été rejetée par le président de la formation restreinte le 24 juillet 2023.

14. Par un courriel du 14 août 2023, la société a communiqué des observations complémentaires.

15. La rapporteure et la société ont présenté des observations orales lors de la séance de la formation restreinte du 14 septembre 2023.

16. […], expert en sécurité informatique de la société […], prestataire de la société […], a été entendu sur le fondement de l’article 22, paragraphe 1, de la loi du 6 janvier 1978.

II. Motifs de la décision

A. Sur les griefs invoqués par la société en lien avec la procédure

17. La société affirme qu’elle a été conduite à produire des éléments de défense qui n’ont pas été sollicités durant l’instruction et qui portent pourtant sur des informations factuelles déterminantes permettant de vider de leur substance les motifs de certains griefs formulés par le rapporteur.

18. Elle considère en outre que les éléments à décharge produits par […] n’ont pas été pris en compte, le rapport se fondant sur des échantillons d’informations ou une perception très parcellaire des mesures de conformité prises par la société.

19. En premier lieu, la formation restreinte relève qu’au cours de la mission de contrôle, la société a pu répondre aux sollicitations des services de la CNIL, produire tout justificatif et faire part de ses observations. Chaque demande de complément d’information formulée ultérieurement par les services de la CNIL a été assortie d’un délai permettant à la société de rassembler les éléments qu’elle jugeait pertinents pour y répondre.

20. En second lieu, les dispositions de l’article 40 du décret n° 2019-536 du 29 mai 2019, qui prévoyant notamment que la personne physique ou morale à laquelle est notifié un rapport proposant une sanction dispose d’un délai d’un mois pour transmettre ses observations en réponse, ont été respectées.

21. Au regard de ces éléments, la formation restreinte estime que la procédure n’est pas entachée d’irrégularité.

A.

B. Sur le manquement à l’obligation de recueillir le consentement des personnes concernées pour la mise en œuvre de prospection commerciale par voie électronique

22. Aux termes de l’article L. 34-5 du CPCE,  » est interdite la prospection directe au moyen de système automatisé de communications électroniques […], d’un télécopieur ou de courriers électroniques utilisant les coordonnées d’une personne physique […] qui n’a pas exprimé préalablement son consentement à recevoir des prospections directes par ce moyen. Pour l’application du présent article, on entend par consentement toute manifestation de volonté libre, spécifique et informée par laquelle une personne accepte que des données à caractère personnel la concernant soient utilisées à fin de prospection directe. […] « .

23. L’article 4, paragraphe 11, du RGPD prévoit qu’on entend par  » consentement  » de la personne concernée  » toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l’objet d’un traitement « .

24. L’article 7, paragraphe 1, du RGPD dispose que  » dans les cas où le traitement repose sur le consentement, le responsable du traitement est en mesure de démontrer que la personne concernée a donné son consentement au traitement de données à caractère personnel la concernant « .

25. Pour proposer à la formation restreinte de considérer que la société a méconnu ses obligations résultant des articles L. 34-5 du CPCE et 7, paragraphe 1, du RGPD, tel qu’éclairé par les dispositions de l’article 4, paragraphe 11, du RGPD, la rapporteure se fonde sur le fait que la société […], qui fait réaliser des opérations de prospection commerciale électronique pour son compte par des prestataires, n’est pas en mesure de disposer et d’apporter la preuve d’un consentement valablement exprimé par les prospects pour être ainsi démarchés. En effet, les données de ces prospects proviennent de fournisseurs […] (ci-après  » […] « ), en l’espèce […]. Or, la rapporteure note que ces prospects, en cochant la case prévue sur les formulaires de collecte pour donner leur consentement à recevoir de la prospection commerciale par voie électronique, n’ont pas valablement consenti à recevoir de la prospection de la part de la société […], dans la mesure où ils n’ont pas été informés de l’identité de ce prospecteur pour le compte duquel le consentement serait collecté, l’information n’étant pas disponible sur les formulaires de collecte ou via un lien URL cliquable.

26. En défense, la société soutient que la responsabilité pour le recueil du consentement licite des prospects concernés ne pèse pas sur elle mais sur les […] qui sont à l’origine de la collecte des données et avec lesquels elle a conclu des contrats répartissant les responsabilités de chaque partie. Elle ajoute que ces[…] sont responsables du partage des données de leurs clients. Elle considère d’ailleurs que le rapport ne précise pas la base légale qui fonderait sa propre obligation à recueillir ce consentement. La société affirme également que la règlementation applicable ne requiert pas l’information des personnes sur l’identité des destinataires de leurs données pour que le consentement soit considéré comme valablement recueilli. Elle conclut qu’au regard de ces éléments, le rapport méconnaît les principes de légalité des délits et des peines et le principe de responsabilité personnelle.

27. En premier lieu, la formation restreinte rappelle que, en application des dispositions combinées des articles L. 34-5 du CPCE et 7, paragraphe 1, du RGPD, tel qu’éclairé par l’article 4, paragraphe 11, du RGPD, l’organisme – en l’espèce la société […] – qui fait réaliser des opérations de prospection commerciale par voie électronique à partir de données collectées par ses partenaires, doit disposer d’un consentement constituant une  » manifestation de volonté, libre, spécifique, éclairée et univoque  » des personnes concernées. Lorsque les données des prospects n’ont pas été collectées directement auprès d’eux par l’organisme qui prospecte, le consentement peut avoir été recueilli au moment de la collecte initiale des données par le primo-collectant, pour le compte de l’organisme qui réalisera les opérations de prospection ultérieures. À défaut, il revient à l’organisme qui prospecte de recueillir un tel consentement avant de procéder à des actes de prospection. En application des dispositions de l’article 7, paragraphe 1, du RGPD, le prospecteur doit alors être en mesure de prouver qu’il dispose de ce consentement. En outre, pour que le consentement soit éclairé, les personnes doivent notamment être clairement informées de l’identité du prospecteur pour le compte duquel le consentement est collecté et des finalités pour lesquelles les données seront utilisées. Pour ce faire, en cas de consentement recueilli par le primo-collectant pour le compte des prospecteurs, une liste exhaustive et mise à jour est tenue à la disposition des personnes au moment du recueil de leur consentement, par exemple directement sur le support de collecte ou, si celle-ci est trop longue, via un lien hypertexte renvoyant vers ladite liste et les politiques de confidentialité des prestataires et fournisseurs (voir en ce sens, CNIL, FR, 24 novembre 2022, SANCTION, n° SAN-2022-021, publié).

28. En l’espèce, la formation restreinte note que 3 346 632 prospects dont les données ont été collectées auprès de […] et 588 324 auprès de […] ont fait l’objet de prospection par voie électronique au cours de l’année 2021 par le prestataire intervenant pour le compte de la société […]. Pour l’ensemble de ces prospects, la société n’est pas en mesure de fournir de pièces démontrant l’obtention d’un consentement valablement recueilli auprès des personnes, que ce soit par ses soins – ce qu’elle a précisé ne pas faire – ou par les primo-collectants.

29. En effet, si la société a fourni à la délégation de contrôle des exemples de formulaires type de collecte de données des prospects mis à disposition par […], la formation restreinte relève qu’aucune liste de partenaires – incluant […] – devant être tenue à la disposition des prospects au moment de consentir, n’a été communiquée dans le cadre de la procédure. Pour la société […], le formulaire de collecte prévoit une case à cocher avec la mention suivante :  » accepter de recevoir des informations commerciales pour des services/produits […] et partenaires « . Pour la société […], la mention précise :  » accepter de recevoir des informations commerciales de la part des sociétés du […] ou de leurs partenaires selon mes centres d’intérêt ou l’endroit où je me trouve « . Dans les deux cas, aucune information sur l’identité des partenaires concernés n’est disponible sur le formulaire de collecte ou via un lien hypertexte cliquable.

30. Ainsi, la société […] n’établit pas qu’elle dispose d’un consentement valable des personnes pour ses opérations de prospection commerciale par voie électronique. En effet, si tant est que les personnes aient bien donné leur consentement aux sociétés […] à recevoir de la prospection commerciale électronique en cochant les cases présentes à cet effet sur les formulaires en cause, elles n’ont pas valablement consenti à recevoir de la prospection de la part de la société […], dans la mesure où elles n’ont pas été informées de l’identité de ce prospecteur pour le compte duquel le consentement serait collecté. Le consentement recueilli ne saurait être considéré comme étant éclairé, les personnes concernées n’étant pas informées de l’identité du prospecteur pour le compte duquel le consentement est collecté, à savoir la société […]. En l’absence de cette information, le consentement ne saurait être considéré comme valable.

31. En deuxième lieu, la société fait valoir le fait que les données des prospects ne lui seraient pas directement transmises, mais à des prestataires, et que la société ne serait ainsi pas destinataire des adresses de messagerie électronique des clients des […], qui ne se trouvent pas dans sa base de données. La formation restreinte considère que la circonstance selon laquelle la société fait appel à des prestataires pour mener les opérations de prospection est sans incidence sur le fait que, pour pouvoir se prévaloir d’un consentement valable recueilli par le primo-collectant, la société […] doit figurer dans la liste des partenaires auxquels les données sont transmises, dès lors que ces prestataires sous-traitants agissent pour son compte. La société est responsable de la prospection commerciale qu’elle met en œuvre, y compris lorsqu’elle est réalisée pour son compte par un sous-traitant.

32. En troisième lieu, la formation restreinte relève que, dans le cadre du contrôle sur pièces, la société a indiqué que les […] sont en charge de la collecte du consentement des personnes concernées. La société a précisé n’exercer aucun contrôle sur les formulaires de recueil de consentement utilisés, indiquant que  » ces formulaires sont gérés uniquement par le […] concerné, en [leur] qualité de responsable de traitement. En conséquence, […] n’est pas en charge de définir les modalités de collecte du consentement des abonnés des […] « .

33. La formation restreinte considère dès lors que les mesures mises en place par la société […] pour s’assurer auprès de ses partenaires que le consentement avait été valablement donné par les prospects avant de les démarcher étaient insuffisantes.

34. Dans ces conditions, la formation restreinte considère que la société a méconnu ses obligations résultant des articles L. 34-5 du CPCE et 7, paragraphe 1, du RGPD, tel qu’éclairé par les dispositions de l’articles 4, paragraphe 11, du RGPD.

C. Sur les manquements en lien avec l’obligation d’informer les personnes concernées du traitement de leurs données à caractère personnel

1) S’agissant de l’information fournie aux utilisateurs lors de la création d’un compte pour le service […]

35. L’article 12, paragraphe 1, du RGPD prévoit que  » le responsable du traitement prend des mesures appropriées pour fournir toute information visée aux articles 13 et 14 ainsi que pour procéder à toute communication au titre des articles 15 à 22 et de l’article 34 en ce qui concerne le traitement à la personne concernée d’une façon concise, transparente, compréhensible et aisément accessible (…) « .

36. L’article 13, paragraphe 1, du RGPD impose au responsable de traitement de fournir à la personne concernée différentes informations relatives notamment à son identité et ses coordonnées, aux finalités du traitement mis en œuvre, sa base juridique, les destinataires ou les catégories de destinataires des données et au fait que le responsable du traitement a l’intention d’effectuer un transfert de données vers un pays tiers.

37. L’article 13, paragraphe 2, du RGPD prévoit que, lorsque cela apparaît nécessaire pour garantir un traitement équitable et transparent des données, le responsable de traitement doit fournir à la personne  » la durée de conservation des données à caractère personnel ou, lorsque ce n’est pas possible, les critères utilisés pour déterminer cette durée  » et l’information relative au  » droit d’introduire une réclamation auprès d’une autorité de contrôle « .

38. Les lignes directrices sur la transparence au sens du règlement (UE) 2016/679, venant éclairer les dispositions précitées, précisent que :  » la durée de conservation […] devrait être formulée de manière à ce que la personne concernée puisse évaluer, selon la situation dans laquelle elle se trouve, quelle sera la période de conservation s’agissant de données spécifiques ou en cas de finalités spécifiques. Le responsable du traitement ne peut se contenter de déclarer de façon générale que les données à caractère personnel seront conservées aussi longtemps que la finalité légitime du traitement l’exige. Le cas échéant, différentes périodes de stockage devraient être mentionnées pour les différentes catégories de données à caractère personnel et/ou les différentes finalités de traitement, notamment les périodes à des fins archivistiques.  »

39. En l’espèce, la rapporteure note que lors de la création d’un compte sur le service […], un lien situé sous le formulaire de collecte des données renvoie l’utilisateur vers une page intitulée  » Données personnelles et confidentialité « . Elle considère que la politique de confidentialité de la société ne développe pas de manière suffisamment précise les durées de conservation des données. Elle relève en effet que celle-ci se limite à indiquer que  » vos données personnelles sont conservées selon des durées déterminées au regard de nos finalités et des obligations légales, fiscales et comptables nous incombant. Les données liées à votre abonnement font l’objet d’un archivage électronique pendant toute la durée de souscription à l’abonnement et pendant les durées légales de prescription « . En outre, la rapporteure observe que la possibilité d’introduire une réclamation auprès de la CNIL n’est pas mentionnée dans la politique de confidentialité.

40. La société fait valoir, d’une part, que si le RGPD impose bien d’informer les personnes concernées sur la durée de conservation de leurs données, ni le RGPD, ni les lignes directrices sur la transparence du G29 ne contiennent une indication quant au degré de granularité attendu pour la fourniture de cette information. Le choix opéré par la société permet d’être transparent sans alourdir, de manière excessive, sa politique de confidentialité.

41. Elle précise toutefois qu’elle a modifié, le 6 février 2023, sa politique de confidentialité pour fournir des informations plus précises et granulaires.

42. D’autre part, s’agissant de l’information relative à la possibilité d’introduire une réclamation auprès de la CNIL, la société reconnaît qu’elle ne figurait pas dans la politique de confidentialité au moment du contrôle mais qu’elle a été ajoutée lors de la refonte de celle-ci. Elle précise que l’information était en revanche fournie dans les conditions générales d’utilisation, disponibles depuis le site web, et dans les conditions générales d’abonnement fournies à chaque souscription d’un service.

43. En premier lieu, s’agissant de la durée de conservation des données, la formation restreinte relève que le document, daté du 3 décembre 2020, n’est pas assez précis en ce qu’il se limite à affirmer que la durée de conservation des données est liée à la poursuite de certaines finalités (respect d’obligation légales, comptables, fiscales) ou à la durée de l’abonnement, sans indiquer les durées précises applicables. Les durées de conservation sont énoncées de manière générique et ne sont pas suffisamment explicites, la formation restreinte relevant en outre que certains utilisateurs du service ne sont pas abonnés mais ont uniquement créé un espace personnel sur le site.

44. Or, la formation restreinte considère que cette information est importante pour garantir un  » traitement équitable et transparent  » puisqu’elle contribue à assurer pour les utilisateurs la maîtrise sur le traitement de leurs données.

45. Au vu de ce qui précède, la formation restreinte considère que l’information relative à la durée de conservation des données des utilisateurs n’est pas suffisamment détaillée, ce qui constitue un manquement à l’article 13 du RGPD.

46. La formation restreinte note toutefois que les durées de conservation indiquées dans la politique de confidentialité modifiée au 6 février 2023 sont conformes aux préconisations de la CNIL.

47. En second lieu, la formation restreinte relève qu’il n’est pas fait mention du droit d’introduire une réclamation auprès de la CNIL dans la politique de confidentialité de la société alors que cette information est expressément visée à l’article 13, paragraphe 2, d), du RGPD.

48. Cependant, elle constate que la compilation de plusieurs documents, accessibles depuis le site web, permet d’obtenir l’information, qui n’est dès lors pas manquante, quand bien même elle n’est pas aisément accessible. Ce dernier grief relevant toutefois de l’article 12 du RGPD n’a pas été soulevé par la rapporteure dans son rapport de sanction.

49. Dans ces conditions, la formation restreinte considère que le manquement à l’article 13 du RGPD, s’agissant de l’information relative à la possibilité d’introduire une réclamation auprès de la CNIL, n’est pas constitué.

50. Par ailleurs, la formation restreinte relève que la société a modifié sa politique de confidentialité, accessible depuis le formulaire de collecte, qui est désormais complète.

51. La formation restreinte relève qu’au cours de la procédure, la société a modifié sa politique de confidentialité pour y mentionner le droit d’introduire une réclamation auprès de la CNIL.

2) S’agissant des informations fournies aux prospects lors des appels de démarchage téléphonique

52. L’article 14 du RGPD précise les informations à fournir lorsque les données à caractère personnel n’ont pas été collectées auprès de la personne concernée. Cet article prévoit que les mêmes éléments d’information que ceux visés à l’article 13 du RGPD doivent être fournis à la personne concernée, ainsi que les catégories de données à caractère personnel collectées et, si cela est nécessaire pour garantir un traitement équitable et transparent, d’autres éléments parmi lesquels la source d’où proviennent ces données.

53. L’article 14 du RGPD précise également que les informations doivent être communiquées à la personne concernée  » dans un délai raisonnable après avoir obtenu les données à caractère personnel, mais ne dépassant pas un mois, eu égard aux circonstances particulières dans lesquelles les données à caractère personnel sont traitées  » ou  » si les données à caractère personnel doivent être utilisées aux fins de la communication avec la personne concernée, au plus tard au moment de la première communication à ladite personne « .

54. En l’espèce, la rapporteure relève que, dans le cadre du contrôle, la société a fourni à la délégation de la CNIL un échantillon composé de soixante-dix enregistrements d’appels téléphoniques effectués par un sous-traitant dans le cadre de campagnes de prospection réalisées à partir de données obtenues par le biais de ses partenaires.

55. Elle relève que l’écoute de ces enregistrements a permis de constater que seize personnes démarchées par téléphone pour le compte de la société n’ont pas bénéficié pas d’une information complète dispensée dans les conditions prévues par l’article 14 précité et, pour quatre autres personnes, aucune information n’a été fournie.

56. En défense, la société indique que, s’agissant des seize appels pour lesquels les mentions seraient incomplètes, les informations sont complètes dans trois cas. Pour six appels, elle affirme que le téléconseiller n’a pas eu le temps de fournir ces informations car le prospect a raccroché trop vite. Pour un cas, l’appel concernait une personne déjà abonnée, qui avait donc déjà reçu, à plusieurs reprises, ces informations. Pour les six derniers cas, la société reconnaît que le prospect n’a pas eu toutes les informations requises, mais qu’elle met en place des procédures précises visant à s’assurer que ces situations ne se produisent pas.

57. S’agissant des quatre appels pour lesquels aucune information n’a été fournie, la société relève qu’il s’agit d’appels très courts, pour lesquels le téléconseiller n’a pas pu fournir ces informations.

58. La société indique, de manière générale, que ces cas ne représentent qu’une minorité au regard du nombre d’appels effectués.

59. La formation restreinte rappelle qu’il résulte de l’article 14 du RGPD que, lorsqu’un prospecteur récupère un numéro de téléphone d’un tiers à des fins de prospection par voie téléphonique, il doit informer la personne prospectée du traitement de ces données pour cette finalité, au plus tard lors de l’appel téléphonique. Lorsqu’une information prévue par le RGPD est fournie dans le cadre d’échanges téléphoniques, il est admis que cette information puisse se limiter aux éléments les plus importants pour l’interlocuteur, afin de rester brève, à condition d’indiquer un moyen d’obtenir les informations complètes (exemples : touche à activer sur le téléphone, courriel reçu par l’interlocuteur, renvoi vers une page web) (voir en ce sens, CNIL, FR, 23 juin 2022, SANCTION, n° SAN-2022-011, publié). L’information sur le traitement des données transmises par les […], notamment les coordonnées téléphoniques des personnes, à des fins de prospection téléphonique, en application de l’article 14 du RGPD, et celle relative à l’enregistrement de la conversation, en application de l’article 13 du RGPD, peuvent par ailleurs être fusionnées.

60. La formation restreinte note que la société a fourni à la délégation de contrôle de la CNIL un échantillon d’enregistrements d’appels effectués dans le cadre des campagnes de prospection et a précisé que les enregistrements étaient effectués de manière aléatoire. La société a également précisé à la délégation que les personnes appelées sont en principe informées, en tout début de l’appel, de leur faculté discrétionnaire de s’opposer à l’enregistrement, conformément aux instructions reçues par les  » conseillers d’appels internes et externes « . Or, dans tous les cas visés par le rapport (information incomplète ou absence d’information), la formation restreinte relève que le téléconseiller avait entamé la discussion sur les offres proposées par […]. Ainsi, même si l’appel était bref, le téléconseiller avait initié une démarche de prospection.

[… passage central omis : décision trop longue pour une cellule …]

91. La rapporteure considère que le stockage des mots de passe des collaborateurs de la société dans l’application […] sous une forme hachée au moyen de l’algorithme MD4 n’est pas conforme à l’état de l’art.

92. En défense, la société relève que l’insuffisance de mesures de sécurité visée dans le rapport de sanction n’est pas établie. Elle affirme que le rapport se fonde sur des réponses courtes apportées à des questions ciblées formulées lors du contrôle, qui n’avaient pas vocation à permettre à la CNIL d’être pleinement informée du niveau global de sécurité entourant les mots de passe traités par la société. Elle fait ainsi valoir d’autres mesures qui seraient mises en place par la société et qui permettraient d’assurer un niveau de sécurité approprié, comme par exemple une surveillance permanente de l’activité au sein du réseau informatique ou un nombre limité de comptes administrateurs. Elle précise également qu’une politique de migration vers une nouvelle version de Windows Server l’a incitée à faire évoluer les algorithmes utilisés vers des versions plus robustes, avec une migration achevée en février 2023. Depuis, la chaîne d’algorithme […] est utilisée.

93. La société considère en outre que la rapporteure se fonde à tort sur la délibération n° 2022-100 du 21 juillet 2022 portant adoption d’une recommandation relative aux mots de passe et autres secrets partagés et abrogeant la délibération n° 2017-012 du 19 janvier 2017, qui n’a pas de caractère normatif, est postérieure au contrôle et admet la mise en œuvre de dispositifs supplétifs aux seuls mots de passe. Sa violation ne pourrait donc pas être passible de sanction.

94. La formation restreinte rappelle qu’il résulte des dispositions de l’article 32 du RGPD que le responsable de traitement est tenu de s’assurer que le traitement automatisé de données qu’il met en œuvre est suffisamment sécurisé. Le caractère suffisant des mesures de sécurité s’apprécie, d’une part, au regard des caractéristiques du traitement et des risques qu’il induit, d’autre part, en tenant compte de l’état de connaissances et du coût des mesures.

95. La mise en place d’une politique d’authentification robuste constitue une mesure élémentaire de sécurité qui participe généralement au respect des obligations de l’article 32 du RGPD. Ainsi, en matière d’authentification, il est nécessaire de veiller à ce qu’un mot de passe permettant de s’authentifier sur un système ne puisse pas être divulgué. La conservation des mots de passe de manière sécurisée constitue une précaution élémentaire en matière de protection des données à caractère personnel. Dès 2013, l’Agence nationale de sécurité des systèmes d’information (ANSSI) alertait et rappelait les bonnes pratiques s’agissant de la conservation des mots de passe en indiquant qu’ils doivent  » être stockés sous une forme transformée par une fonction cryptographique à sens unique (fonction de hachage) et lente à calculer telle que PBKDF2  » et que  » la transformation des mots de passe doit faire intervenir un sel aléatoire pour empêcher une attaque par tables précalculées  » (ANSSI,  » Bulletin d’actualité CERTA-2013-ACT-046 « , 15 novembre 2013, https://www.cert.ssi.gouv.fr/actualite/CERTA-2013-ACT-046/). De