La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de Monsieur Alexandre LINDEN, président, Monsieur Philippe-Pierre CABOURDIN, vice-président, Monsieur Alain DRU, Monsieur Bertrand du MARAIS et Madame Christine MAUGÜÉ, membres ;

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ( » RGPD « ) ;

Vu la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;

Vu le décret no 2019-536 du 29 mai 2019 pris pour l’application de la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;

Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;

Vu la décision n° 2020-267C du 20 octobre 2020 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements mis en œuvre par la société X ou pour son compte ;

Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte, en date du 23 décembre 2021 ;

Vu le rapport de Madame Sophie LAMBREMON, commissaire rapporteure, notifié à la société X le 7 juillet 2022 ;

Vu les observations écrites versées par la société X le 8 août 2022 ;

Vu les autres pièces du dossier ;

Étaient présents, lors de la séance de la formation restreinte du 15 septembre 2022 :

– Madame Sophie LAMBREMON, commissaire, entendue en son rapport ;

En qualité de représentants de la société X :

– […]

La société X ayant eu la parole en dernier ;

La formation restreinte a adopté la décision suivante :

I. Faits et procédure

1. La société X (ci-après  » X  » ou  » la société « ) est une société par actions simplifiée, immatriculée au registre du commerce et des sociétés de Lyon sous le numéro …, dont le siège social est situé […] La société exploite plusieurs sites web afin de proposer à ses clients des consultations de voyance par chat ou par téléphone, dont le site web […]. La société emploie six salariés.

2. En 2019, le chiffre d’affaires net de la société s’élevait à […] euros et son résultat net était de […] euros. En 2020, son chiffre d’affaires net s’élevait à […] euros avec un résultat net déficitaire de […] euros.

3. Le 1er octobre 2020, un article de presse, paru sur le site web du média Numerama, a révélé l’existence d’une violation de données à caractère personnel concernant les données conservées sur le serveur de X. Selon cet article, la base de données de la société ne faisant pas l’objet de mesures de sécurité particulières, celle-ci était librement accessible sur Internet jusqu’au 23 juillet 2020. De nombreuses données, dont des données d’identification et des données de contact, auraient ainsi été exposées.

4. Le 21 janvier 2021, une délégation de contrôle de la Commission nationale de l’informatique et des libertés (ci-après  » CNIL  » ou  » Commission « ) a procédé à un contrôle sur pièces en adressant un questionnaire à la société, auquel cette dernière a répondu par un courrier reçu le 25 mars 2021.

5. Un contrôle en ligne a également été effectué le 15 avril 2021 sur le site web […], édité par la société. Le procès-verbal n° 2020-267/1, dressé à l’issue du contrôle, a été notifié à l’organisme le 26 avril 2021. La société a fourni à la délégation des éléments complémentaires par courriels des 17 mai et 18 juin 2021.

6. Un contrôle sur place a été effectué le 15 juillet 2021. Le procès-verbal n° 2020-267/2, dressé à l’issue du contrôle, a été notifié à l’organisme le 21 juillet 2021. Par la suite, la société a fourni à la délégation des éléments complémentaires par courriels des 26 août, 20 septembre, 19 octobre et 3 novembre 2021.

7. La base de données de X comporte les adresses électroniques de […] clients et […] prospects, comme cela ressort des observations en réponse de la société.

8. Conformément à l’article 56 du RGPD, la CNIL a informé l’ensemble des autorités de contrôle européennes de sa compétence pour agir en tant qu’autorité de contrôle chef de file concernant les traitements transfrontaliers mis en œuvre par X, résultant de ce que son établissement unique se trouve en France. Après échanges entre la CNIL et les autorités de protection des données européennes dans le cadre du mécanisme de guichet unique, la Belgique, le Luxembourg, l’Italie, l’Espagne, le Portugal, la Bulgarie, Berlin et l’Irlande se sont déclarées concernées par le traitement.

9. Aux fins d’instruction de ces éléments, la présidente de la Commission a, le 23 décembre 2021, désigné Madame Sophie LAMBREMON en qualité de rapporteure, sur le fondement de l’article 22 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés (ci-après  » loi Informatique et Libertés « ).

10. Le 7 juillet 2022, la rapporteure a fait notifier à la société X un rapport détaillant les manquements aux dispositions du RGPD et de la loi Informatique et Libertés qu’elle estimait constitués en l’espèce. Ce rapport proposait à la formation restreinte de prononcer à l’encontre de la société une amende administrative. Il proposait également que la décision soit rendue publique mais qu’il ne soit plus possible d’identifier nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.

11. Le 2 août 2022, X a sollicité un délai pour répondre au rapport de la rapporteure. Par courrier du 4 août 2022, le président de la formation restreinte a avisé la société de sa décision de ne pas faire droit à cette demande.

12. La société a répondu au rapport de sanction par des observations écrites en date du 8 août 2022.

13. Par courrier du 16 août 2022, la rapporteure a informé le conseil de la société que l’instruction était close, en application de l’article 40, III, du décret modifié n°2019-536 du 29 mai 2019.

14. Le 22 août 2022, le conseil de la société a été informé que le dossier était inscrit à l’ordre du jour de la formation restreinte du 15 septembre 2022.

15. La rapporteure et la société ont présenté des observations orales lors de la séance de la formation restreinte.

II. Motifs de la décision

16. En application de l’article 60, paragraphe 3, du RGPD, le projet de décision adopté par la formation restreinte a été transmis le 4 mai 2023 aux huit autorités de contrôle européennes qui se sont déclarées concernées.

17. Au 1er juin 2023, aucune des autorités de contrôle concernées n’avait formulé d’objection pertinente et motivée à l’égard de ce projet de décision, de sorte que, en application de l’article 60, paragraphe 6, du RGPD, ces dernières sont réputées l’avoir approuvé.

A. Sur le manquement relatif à l’obligation de veiller à l’adéquation, à la pertinence et au caractère non excessif des données à caractère personnel traitées en application de l’article 5-1-c du RGPD

18. L’article 5, paragraphe 1, c) du RGPD dispose que les données à caractère personnel doivent être  » adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (minimisation des données) « .

19. En premier lieu, la rapporteure relève que la société enregistre systématiquement l’intégralité des appels téléphoniques passés entre les téléopérateurs et les prospects, ainsi qu’entre les voyants et les clients, à des fins de contrôle de la qualité du service, de preuve de la souscription du contrat et dans la perspective de réquisitions judiciaires. La rapporteure considère que cela conduit à collecter des données non limitées à ce qui est nécessaire au regard des finalités poursuivies.

20. En défense, la société indique avoir cessé de proposer à ses clients des consultations de voyance par téléphone.

21. Afin de justifier les faits passés, elle indique que ces enregistrements lui permettaient de contrôler les propos tenus par les voyants lors des consultations, notamment pour apprécier leurs compétences. Selon elle, l’enregistrement d’un échantillon des consultations ne permettrait pas de répondre à ses besoins.

22. La formation restreinte prend note de l’arrêt des consultations de voyance par téléphone, ce qui implique l’arrêt des enregistrements des appels téléphoniques passés entre les téléopérateurs et les prospects et ceux passés entre les voyants et les clients.

23. Toutefois, la formation restreinte relève qu’au jour des contrôles, la société enregistrait systématiquement et intégralement ces appels téléphoniques à des fins de contrôle de la qualité du service, de preuve de la souscription du contrat et dans la perspective de réquisitions judiciaires.

24. La formation restreinte note que la société ne donne pas de justification, pour le passé, concernant la nécessité d’enregistrer systématiquement l’intégralité des conversations téléphoniques, d’une part, entre les téléopérateurs et les prospects, et d’autre part, entre les voyants et les clients, à des fins de contrôle qualité, de preuve de la souscription du contrat et dans la perspective de réquisitions judiciaires.

25. Or, un responsable de traitement ne peut pas mettre en place un traitement de données à caractère personnel sans s’assurer que celui-ci est nécessaire à ses besoins, a fortiori lorsqu’il repose sur un dispositif particulièrement intrusif pour les salariés.

26. S’agissant de l’enregistrement intégral et systématique des appels téléphoniques à des fins de contrôle de la qualité du service, la formation restreinte considère que la finalité visant à contrôler la qualité du service fourni par les téléopérateurs et les voyants peut être atteinte par un moyen moins intrusif.

27. À cet égard, elle relève que la mise en place d’un enregistrement ponctuel et aléatoire de seulement quelques conversations téléphoniques permet à la personne chargée du suivi du contrôle qualité de disposer des éléments nécessaires à l’évaluation de la qualité des services proposés par la société.

28. Dès lors que le contrôle de la qualité du service peut être réalisé par échantillonnage, la formation restreinte considère que l’instauration d’un dispositif d’enregistrement systématique des appels téléphoniques passés, d’une part, entre les téléopérateurs et les prospects, et d’autre part, entre les voyants et les clients, est excessive au regard de la finalité poursuivie.

29. La formation restreinte rappelle qu’elle a déjà considéré, dans sa délibération n°SAN-2020-003 du 28 juillet 2020, à l’égard d’une société qui procédait à l’enregistrement des conversations téléphoniques reçus par les salariés du service clients d’une société à des fins de formation que  » la société ne justifie pas de la nécessité d’enregistrer l’intégralité des conversations téléphoniques passées par le service client, au regard de la finalité du traitement, à savoir la formation des salariés. (…) Si le nombre d’enregistrements peut varier en fonction de chaque salarié et des circonstances, en particulier des besoins de formation de celui-ci, (…) la société ne démontre pas avoir mis en place, pour le passé et l’avenir, un enregistrement des conversations téléphoniques des salariés limité à ce qui est nécessaire au regard de la finalité poursuivie. Or, un responsable de traitement ne peut mettre en place un traitement de données à caractère personnel sans s’assurer que celui-ci est nécessaire à ses besoins, a fortiori lorsqu’il repose sur un dispositif particulièrement intrusif pour les salariés. La formation restreinte considère donc, au vu de ces éléments, qu’un manquement à l’article 5-1-c) du RGPD est constitué « .

30. S’agissant de l’enregistrement intégral et systématique des appels téléphoniques à des fins de de preuve de la souscription du contrat, la formation restreinte relève qu’en l’espèce, les prospects communiquent leurs numéros de téléphone à la société via l’un des sites web qu’elle édite afin d’obtenir des renseignements sur les prestations de voyance proposées. À la suite de cette demande d’information, les téléconseillers de la société appellent les prospects afin de leur fournir ces informations et le cas échéant, fixer un rendez-vous avec un voyant.

31. La formation restreinte considère qu’un responsable du traitement qui souhaite enregistrer des conversations téléphoniques à des fins probatoires doit démontrer qu’il ne dispose pas d’autres moyens moins intrusifs pour prouver que le contrat conclu à distance a bien a été conclu avec la personne concernée.

32. La formation restreinte considère qu’en l’espèce, l’existence du contrat conclu à distance peut être prouvée par un autre moyen moins intrusif.

33. En effet, l’article L.221-16 du code de la consommation prévoit que, lorsque le professionnel contacte un consommateur par téléphone en vue de conclure un contrat portant sur la vente d’un bien ou sur la fourniture d’un service, ce dernier n’est engagé par cette offre qu’après l’avoir signée et acceptée sur un support durable.

34. La formation restreinte considère donc que, dès lors que la preuve de la souscription d’un contrat conclu à distance, à la suite d’un démarchage téléphonique, peut être apportée par la confirmation écrite de l’offre, l’enregistrement des conversations téléphoniques, passées entre les téléopérateurs et les prospects, à des fins de preuve de la formation du contrat, n’apparaît pas nécessaire.

35. Par ailleurs, la formation restreinte note qu’aucun contrat n’est conclu lors des appels téléphoniques passés entre les voyants et les clients, de sorte que l’enregistrement de ces conversations n’est pas justifié à des fins de preuve de la souscription d’un contrat.

36. S’agissant de l’enregistrement intégral et systématique des appels téléphoniques dans la perspective de réquisitions judiciaires, la formation restreinte relève que s’il est nécessaire que les responsables du traitement fassent droit aux réquisitions judiciaires qu’ils reçoivent concernant les données qu’ils traitent pour leurs propres besoins, ils n’ont en revanche pas à organiser, à l’avance, la collecte de données à caractère personnel dans la perspective de répondre à une potentielle réquisition judiciaire.

37. Dès lors, la formation restreinte considère que l’enregistrement des appels téléphoniques passés, d’une part, entre les téléopérateurs et les prospects, et d’autre part, entre les voyants et les clients, afin de répondre à des réquisitions judiciaires, n’est pas justifié.

38. La formation restreinte considère donc, au vu de ces éléments, qu’un manquement à l’article 5, paragraphe 1, c) du RGPD est constitué. Elle relève que la société a cessé de proposer à ses clients des consultations par téléphone, ce qui implique l’arrêt des enregistrements téléphoniques à tout le moins entre les voyants et les clients, mais cela ne saurait exonérer la société de sa responsabilité pour le passé.

39. En second lieu, la rapporteure relève que lors des appels téléphoniques entre les téléopérateurs et les clients, ces derniers sont invités à communiquer leurs coordonnées bancaires. Elle considère que l’enregistrement sonore de la partie de la conversation relative à la collecte des données bancaires des clients ne saurait être justifié à des fins de suivi de la démarche qualité ou à des fins probatoires.

40. En défense, la société justifie, pour le passé, la collecte des données bancaires de ses clients par la réservation de rendez-vous avec un voyant, la simplification du règlement des consultations ultérieures, le paiement d’abonnements et la lutte contre la fraude.

41. Elle indique également que la mise en place d’une mesure permettant d’interrompre un enregistrement lors de la communication des données bancaires suppose le développement d’outils complexes faisant peser sur elle un coût financier et humain particulièrement lourd.

42. La formation restreinte relève qu’au jour des contrôles, la société enregistrait les appels passés entre les téléopérateurs et les prospects à des fins de suivi de la démarche qualité ou à des fins probatoires (souscription du contrat et réquisitions judiciaires). Lors de ces appels téléphoniques, les téléopérateurs collectaient les données bancaires des prospects (numéro de carte bancaire, date d’expiration et cryptogramme) et leur indiquaient que cette collecte leur permettait de  » participer à la sécurisation de la ligne pour un euro symbolique seulement « .

43. La formation restreinte relève que la société n’a pas mis en place de mesure spécifique permettant d’interrompre l’enregistrement de la conversation téléphonique lors de la collecte des données bancaires des clients. Or, elle considère que l’enregistrement sonore des données bancaires des clients n’est pas utile pour la société dans le cadre du contrôle qualité, à des fins probatoires ou de sécurité.

44. À titre d’exemple, la formation restreinte rappelle qu’elle a déjà considéré, dans sa délibération n°SAN-2020-003 du 28 juillet 2020, à l’égard d’une société qui, lors de l’enregistrement de conversations téléphoniques à des fins de formation, enregistrait les coordonnées bancaires des clients qui passaient des commandes par téléphone que  » les coordonnées bancaires sont des données qui compte tenu de leur nature et des risques de fraude associés doivent faire l’objet d’une protection renforcée de la part des responsables de traitement. (…) leur utilisation par des tiers non autorisés, dans le cadre de paiement frauduleux, est susceptible d’entraîner un préjudice pour les personnes concernées. La formation restreinte constate que la société enregistrait et conservait des données dont elle n’avait aucun usage au regard de la finalité poursuivie par le traitement en cause, à savoir la formation des salariés. Elle considère donc, au vu de ces éléments qu’un manquement à l’article 5-1-c) du RGPD est constitué « .

45. Par ailleurs, la formation restreinte considère que l’enregistrement sonore des données bancaires n’est pas non plus pertinent au regard des finalités invoquées par la société lors de la procédure : la réservation de rendez-vous avec un voyant, la simplification du règlement des consultations ultérieures, le paiement d’abonnements et la lutte contre la fraude.

46. Par conséquence, elle considère, au vu de ces éléments, qu’un manquement à l’article 5, paragraphe 1, c) du RGPD est constitué, dès lors que la société collecte des données excessives au regard des finalités poursuivies.

B. Sur le manquement relatif à l’obligation de définir et de respecter une durée de conservation proportionnée à la finalité du traitement en application de l’article 5-1-e du RGPD

47. Aux termes de l’article 5, paragraphe 1, e) du RGPD, les données à caractère personnel doivent être  » conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées (…) « .

48. La rapporteure relève, par une lecture combinée de la politique de durées de conservation et de la politique de confidentialité de la société, que la durée de conservation des données des clients, à des fins de gestion de la relation commerciale et de suivi de la clientèle, est fixée à trois ans à compter de la fin de la relation commerciale.

49. Elle observe que, lors de la procédure de contrôle, la société a pourtant indiqué que figurent dans sa base de données, en base active, des données à caractère personnel de […] clients n’ayant pas eu de consultation avec un voyant depuis plus de trois ans, dont au moins […] clients n’ont pas eu de consultation avec un voyant depuis plus de cinq ans.

50. Elle fait grief à la société de conserver les données de ses clients pour une durée excessive.

51. En défense, la société conteste la volumétrie visée par la rapporteure. Elle considère qu’elle comporte des doublons. Elle indique, à titre d’exemple, qu’une personne qui recourt à une consultation par chat pour dix minutes gratuites, puis une consultation par chat payante, et enfin une consultation par téléphone, est comptabilisée trois fois dans la base de données.

52. Par ailleurs, la société reproche à la rapporteure de se référer à la dernière consultation d’un client avec un voyant pour apprécier la durée de conservation des données, sans prendre en compte le fait qu’un client peut consommer son crédit sans limite de temps.

53. En outre, elle justifie la durée de conservation des données de ses clients pendant trois ans à compter de la fin de la relation commerciale par le fait qu’un client peut recontacter un voyant plusieurs années après la dernière consultation et qu’il est nécessaire pour le voyant de pouvoir reconnaître un client qui n’aurait pas recouru à ses services depuis longtemps.

54. Elle indique qu’après la notification du rapport, elle a mis en place un mécanisme de purge afin de ne conserver les données de ses clients qu’un an à compter de la fin de la relation contractuelle.

55. La formation restreinte relève que, lors du contrôle sur pièces, la société conservait en base active les données personnelles de […] clients n’ayant pas eu de consultation depuis plus de trois ans, dont […] clients n’ayant pas eu de consultation depuis plus de cinq ans.

56. La formation restreinte note que, si cette volumétrie comporte des doublons, selon la société, cette dernière n’a pour autant pas communiqué à la CNIL le nombre de clients uniques dont les données étaient conservées depuis plus de trois et cinq ans, depuis leur dernier rendez-vous.

57. Elle note, par ailleurs, que la société justifie cette conservation des données, notamment par le fait que les clients ont la possibilité de consommer leur crédit sans limite de temps. Pour autant, la société n’a pas indiqué à la CNIL, lors de la procédure, que les […] clients n’ayant pas eu de consultation depuis plus de trois ans, dont […] clients depuis plus de cinq ans, correspondent bien à des clients qui bénéficient encore d’un crédit.

58. Enfin, la formation restreinte relève que la société conservait, au jour des contrôles, les données de ses clients pendant trois ans à compter de la fin de la relation commerciale et, au jour de la séance de la formation restreinte, pendant un an à compter de la fin de la relation commerciale. La formation restreinte note que la société justifie cette durée de conservation par le besoin de réidentifier un client qui n’a pas recouru à ses services depuis longtemps afin de lui assurer un suivi personnalisé le jour où il souhaite bénéficier d’une nouvelle consultation.

59. La formation restreinte relève que la société n’a pas indiqué à la CNIL, lors de la procédure, que ces données sont conservées en archivage intermédiaire.

60. La formation restreinte considère qu’à l’issue de la relation commerciale, la conservation des données à caractère personnel des clients en base active, pour la finalité susvisée, n’est pas justifiée. En revanche, elle considère qu’à l’issue de cette durée, certaines données des clients peuvent être conservées pour cette finalité en archivage intermédiaire.

61. À titre illustratif, dans son référentiel relatif aux traitements de données à caractère personnel mis en œuvre aux fins de gestion des activités commerciales du 23 septembre 2021, la CNIL indique que  » les données nécessaires à l’exécution des contrats sont conservées pendant la durée de la relation contractuelle. Au terme du contrat, elles doivent être conservées en archivage intermédiaire et pour un délai raisonnable, si le responsable du traitement en a l’obligation légale (par exemple, pour répondre à des obligations comptables ou fiscales) ou s’il souhaite se constituer une preuve en cas de contentieux, et dans la limite du délai de prescription applicable. Il conviendra de prévoir à cet effet une base de données d’archives dédiée ou une séparation logique dans la base de données active, après avoir opéré un tri des données pertinentes à archiver. (…)  »

62. Par conséquent, la formation restreinte considère que ces faits constituent un manquement aux dispositions de l’article 5, paragraphe 1, e) du RGPD.

C. Sur le manquement relatif à l’obligation de traiter les données de façon licite en application de l’article 6 du RGPD

63. Selon l’article 6 du RGPD,  » le traitement n’est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie :

a) la personne concernée a consenti au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques ;

b) le traitement est nécessaire à l’exécution d’un contrat auquel la personne concernée est partie ou à l’exécution de mesures précontractuelles prises à la demande de celle-ci ;

c) le traitement est nécessaire au respect d’une obligation légale à laquelle le responsable du traitement est soumis ;

d) le traitement est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d’une autre personne physique ;

e) le traitement est nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement ;

f) le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent une protection des données à caractère personnel, notamment lorsque la personne concernée est un enfant.  »

64. La rapporteure note que dans le cadre des consultations par chat, la société conserve les données bancaires de ses clients, au-delà du temps strictement nécessaire à la réalisation de la transaction, pour faciliter les paiements ultérieurs, et ce, sans recueillir leur consentement préalable, par exemple sur le formulaire de collecte de données.

65. En défense, la société considère que la conservation des données bancaires de ses clients a pour finalité l’achat de crédits et repose sur le contrat qui la lie à ses clients. Elle considère également que la conservation de ces données à des fins de lutte contre la fraude repose sur son intérêt légitime.

66. La formation restreinte rappelle que la base légale du traitement des données bancaires peut varier notamment en fonction de la finalité poursuivie.

67. En l’espèce, en premier lieu, s’agissant de la finalité relative à la lutte contre la fraude, la formation restreinte considère que la base légale de la conservation des données bancaires est, conformément à ce que soutient la société, l’intérêt légitime de celle-ci, ce qui n’est pas contesté par la rapporteure.

68. À cet égard, la Commission indique, dans sa délibération n° 2018-303 du 6 septembre 2018 portant adoption d’une recommandation concernant le traitement des données relatives à la carte de paiement en matière de vente de biens ou de fourniture de services à distance, que  » la conservation des données relatives à la carte de paiement au-delà de la réalisation d’une transaction à des fins de lutte contre la fraude à la carte de paiement ne rentre pas dans le cadre du contrat. Elle considère en effet que ce traitement relève de l’intérêt légitime du responsable de traitement, sous réserve de ne pas méconnaître l’intérêt ou les droits et libertés des personnes en application de l’article 6-1-f du RGPD, en garantissant notamment le respect des principes de transparence et l’effectivité de l’exercice de leurs droits par les personnes concernées « .

69. S’agissant en second lieu de la finalité relative au re-créditage, la formation restreinte considère que les données bancaires des clients sont conservées pour offrir un service supplémentaire aux clients, en l’occurrence ne pas avoir à ressaisir leur numéro de carte lors de l’achat de crédit supplémentaire, ce qui va au-delà de l’exécution du contrat conclu.

70. Dès lors, elle considère que le traitement des données bancaires des clients à cette fin ne peut pas reposer sur le contrat conclu entre le client et la société et nécessite que soit recueilli le consentement préalable des clients.

71. La formation restreinte rappelle, à titre illustratif, que la Commission estime, dans sa délibération susvisée, qu’à des fins de paiement unique,  » le numéro de carte bancaire ne peut être collecté et traité que pour permettre la réalisation d’une transaction dans le cadre de l’exécution du contrat conclu par la personne concernée conformément à l’article 6-1-b du RGPD (exécution contractuelle). Ainsi, en cas de contrat impliquant un paiement unique, la Commission estime que les données n’ont donc pas vocation à être conservées au-delà du temps de transaction commerciale « .

72. Toujours à titre illustratif, dans la délibération susvisée, la Commission indique que  » la conservation du numéro de la carte du client afin de faciliter ses éventuels paiements ultérieurs, et éventuellement pouvoir procéder à un achat en  » un clic  » sur le site du commerçant, va au-delà de l’exécution du contrat conclu. Elle retient que cette faculté constitue une option indépendante de l’acte initial ayant conduit à la collecte des coordonnées bancaires et rappelle qu’un tel traitement nécessite que soit recueilli au préalable le consentement libre, spécifique, éclairé et univoque des personnes, en application de l’article 6-1-a du RGPD « .

[… passage central omis : décision trop longue pour une cellule …]

175. L’article 82 de la loi Informatique et Libertés dispose que  » tout abonné ou utilisateur d’un service de communications électroniques doit être informé de manière claire et complète, sauf s’il l’a été au préalable, par le responsable du traitement ou son représentant :

1° De la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans son équipement terminal de communications électroniques, ou à inscrire des informations dans cet équipement ;

2° Des moyens dont il dispose pour s’y opposer […] « .

Ces accès ou inscriptions ne peuvent avoir lieu qu’à condition que l’abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son consentement qui peut résulter de paramètres appropriés de son dispositif de connexion ou de tout autre dispositif placé sous son contrôle (…) Ces dispositions ne sont toutefois pas applicables si l’accès aux informations stockées dans l’équipement terminal de l’utilisateur ou l’inscription d’informations dans l’équipement terminal de l’utilisateur : 1° Soit a pour finalité exclusive de permettre ou faciliter la communication par voie électronique ; 2° Soit est strictement nécessaire à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur « .

176. Ces dispositions transposent en droit français l’article 5, paragraphe 3, de la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques (dite  » directive e-Privacy « ).

177. En premier lieu, la rapporteure note que la délégation a constaté, lors du contrôle en ligne du 15 avril 2021, l’absence de bandeau ou d’interface d’information et consentement aux cookies lors de l’accès au site web […] alors que certains cookies étaient déposés sur les terminaux des utilisateurs.

178. Elle relève que, lors du contrôle sur place du 15 juillet 2021, la délégation a constaté la présence d’un bandeau cookies lors de l’accès à ce site web.

179. Elle considère toutefois que l’information délivrée n’est pas satisfaisante et ne permet pas d’éclairer le consentement de la personne concernée puisqu’aucune information n’est fournie concernant la manière de refuser les traceurs, les conséquences qui s’attachent à un refus et l’existence du droit de retirer son consentement.

180. En défense, la société fait valoir que, depuis la notification du rapport, elle a édité un bandeau cookies conforme sur son site web.

181. La formation restreinte rappelle qu’il résulte des dispositions combinées des articles 82 de la loi Informatique et Libertés et 4 du RGPD que les traceurs nécessitant un recueil du consentement ne peuvent, sous réserve des exceptions prévues par ces dispositions, être utilisés en écriture ou en lecture qu’à condition que l’utilisateur ait manifesté à cette fin son consentement, de manière libre, spécifique, univoque et éclairée, par une action positive.

182. La formation restreinte considère que la validité d