La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de Monsieur Philippe-Pierre CABOURDIN, vice-président, Mme Dominique CASTERA, Mme Anne DEBET et Mme Christine MAUGÜE, membres ;

Vu la Convention no 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;

Vu la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiée, notamment ses articles 20 et suivants ;

Vu l’ordonnance no 2020-306 du 25 mars 2020 relative à la prorogation des délais échus pendant la période d’urgence sanitaire ;

Vu le décret no 2019-536 du 29 mai 2019 pris pour l’application de la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;

Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;

Vu les saisines nos [ …], […], […], […] et […] ;

Vu la décision n° 2019-082C du 24 avril 2019 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements mis en œuvre par cet organisme ou pour le compte de la société […] ;

Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte, en date du 19 décembre 2019 ;

Vu le rapport de Monsieur François PELLEGRINI, commissaire rapporteur, notifié à la société […] le 28 février 2020 ;

Vu les observations écrites versées par la société […] le 21 août 2020 ;

Vu la réponse du rapporteur à ces observations notifiée le 18 septembre 2020 au conseil de la société ;

Vu les nouvelles observations écrites versées par le conseil de la société […], reçues le 16 octobre 2020, ainsi que les observations orales formulées lors de la séance de la formation restreinte ;

Vu la procédure interne de gestion des demandes d’exercice des droits versée par le conseil de la société […] le 6 novembre 2020 ;

Vu les autres pièces du dossier ;

Étaient présents, lors de la séance de la formation restreinte du 5 novembre 2020 :

– Monsieur François PELLEGRINI, commissaire, entendu en son rapport ;

En qualité de représentants de la société […] :

– […] ;

– […] ;

– […] ;

– […] ;

– […].

La société […] ayant eu la parole en dernier ;

La formation restreinte a adopté la décision suivante :

I. Faits et procédure

1. La société […] (ci-après  » la société « ) est […] créée en […], qui a pour activité la préparation et la livraison de repas à destination d’employés de bureaux, commandés à partir du site web de la société  » […].com  » et d’une application mobile. Son siège social est situé […].

2. En 2018, la société […] a réalisé un chiffre d’affaires d’environ […] euros et un résultat net négatif d’environ […] euros. En 2019 la société a réalisé un chiffre d’affaires d’environ […] euros et un résultat net négatif d’environ […] euros. La société […] emploie environ 74 personnes. Le 14 mai 2019, la société recensait 169 768 comptes clients créés via son site et son application mobile.

3. En novembre 2018 et janvier 2019, la Commission nationale de l’informatique et des libertés (ci-après  » la CNIL  » ou  » la Commission « ) a été saisie de quatre plaintes par des personnes non clientes de la société, indiquant avoir reçu des courriels de prospection de la part de cette dernière sans qu’elles aient fourni leur consentement préalable (saisines n° […], […], […] et […]). Ces courriels contenaient des informations relatives à des offres commerciales et aux menus proposés par la société. Certains plaignants informaient la CNIL que la société leur avait indiqué avoir reconstitué leur adresse électronique, afin de les contacter, sur la base du format de l’adresse électronique de leur entreprise à partir des données diffusées sur le réseau social professionnel de la société […].

4. Par ailleurs, une plaignante indiquait qu’elle rencontrait des difficultés à s’opposer au traitement de ses données caractère personnel par la société à des fins de prospection par courrier électronique (saisine n°[…]). Plusieurs plaignant indiquaient également que malgré leur désinscription de la newsletter reçue par courriel, ils continuaient à recevoir des messages de prospection par ce biais.

5. Enfin, deux plaignants indiquaient avoir demandé, en vain, à la société, une copie des données à caractère personnel les concernant traitées par celle-ci, ainsi que plusieurs informations relatives à la finalité du traitement, aux destinataires des données, aux durées de conservation des données ou encore à la source de leurs données (saisines n° […] et […]).

6. Le 3 mai 2019, en application de la décision no 2019-082C de la présidente de la CNIL, une délégation de la CNIL a procédé à une mission de contrôle en ligne, sur le site web et l’application mobile mis en œuvre par la société. Cette mission a eu pour objet de vérifier le respect par cette société de l’ensemble des dispositions du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (ci-après  » le Règlement  » ou  » le RGPD « ) et de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après  » la loi du 6 janvier 1978 modifiée  » ou la loi  » Informatique et Libertés « ).

7. Au cours de cette mission de contrôle, la délégation a suivi le parcours d’inscription d’une personne sur le site web ainsi que sur l’application mobile de la société et a créé un compte au nom de la CNIL. Elle a ainsi effectué des vérifications en lien avec les données renseignées par les personnes lors de leur inscription, les informations relatives à la protection des données à caractère personnel fournies aux personnes concernées ainsi que les mesures de sécurité mises en place par la société s’agissant des mots de passe associés aux comptes.

8. Le 14 mai 2019, une délégation de la CNIL a procédé à une mission de contrôle dans les locaux de la société, en application de la décision n° 2019-082C précitée. Lors de ce contrôle, la société a indiqué à la délégation qu’elle procédait à la refonte de son site web afin de se conformer au RGPD, s’agissant notamment de l’information des personnes et des moyens d’opposition à la réception de la lettre d’information. La société a également expliqué à la délégation la manière dont elle constitue sa base de données de prospects. Des vérifications ont enfin été effectuées en ce qui concerne les suites apportées aux plaintes dont la CNIL a été saisie, s’agissant des droits d’accès et d’opposition des personnes.

9. En réponse à une demande du 21 juin 2019, la société a fourni à la délégation de contrôle de la CNIL, par courriel du 3 juillet suivant, des informations relatives à la source des données à caractère personnel contenues dans sa base de prospects. Enfin, par courriel du 11 septembre 2019, la société a fourni à la CNIL des éléments relatifs à la base légale du traitement mis en œuvre à des fins de prospection commerciale, au droit d’opposition ainsi qu’aux durées de conservation des données des prospects et clients.

10. Aux fins d’instruction de ces éléments, la présidente de la Commission a désigné Monsieur François PELLEGRINI en qualité de rapporteur, le 19 décembre 2019, sur le fondement de l’article 22 de la loi du 6 janvier 1978 modifiée dans sa version applicable au jour de la désignation.

11. Le 20 février 2020, aux fins d’actualiser les constatations déjà effectuées, une délégation de la CNIL a procédé à une nouvelle mission de contrôle en ligne du site  » […].com  » et de l’application mobile de la société. La délégation a de nouveau créé un compte au nom de la Commission, sur le site web et l’application mobile, et a effectué des vérifications relatives à la transparence des informations fournies aux personnes ainsi qu’à la robustesse des mots de passe associés aux comptes.

12. À l’issue de son instruction, le rapporteur a fait notifier à la société […], le 28 février 2020, un rapport détaillant les manquements au RGPD qu’il estimait constitués en l’espèce.

13. Ce rapport proposait à la formation restreinte de la Commission de prononcer une injonction de mettre en conformité le traitement avec les dispositions des articles L. 34-5 du Code des postes et des communications électroniques (ci-après le  » CPCE « ) et 12, 13, 15 et 32 du Règlement, assortie d’une astreinte de cinq cents euros par jour de retard à l’issue d’un délai de trois mois suivant la notification de la délibération de la formation restreinte, ainsi qu’une amende administrative. Il proposait également que cette décision soit rendue publique et ne permette plus d’identifier nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.

14. Était également jointe au rapport une convocation à la séance de la formation restreinte du 7 mai 2020 indiquant à la société qu’elle disposait d’un délai d’un mois pour communiquer ses observations écrites en application des dispositions de l’article 40 du décret n° 2019-536 du 29 mai 2019.

15. Le 11 mars 2020, par l’intermédiaire de son conseil, la société […] sollicitait par courrier motivé, un délai pour produire ses observations. Par courriel du 18 mars 2020, le président de la formation restreinte a informé la société […] qu’elle pouvait produire ses observations en défense jusqu’au 20 avril 2020.

16. Le 8 avril 2020, en vertu de l’ordonnance n° 2020-306 du 25 mars 2020 relative à la prorogation des délais échus pendant la période d’urgence sanitaire et à l’adaptation des procédures pendant cette même période, prise en application de la loi n° 2020-290 du 23 mars 2020 d’urgence pour faire face à l’épidémie de Covid-19, le président de la formation restreinte a informé la société qu’elle disposait d’un délai supplémentaire pour produire ses observations au rapport du rapporteur, jusqu’au 24 août 2020.

17. Le 21 août 2020, par l’intermédiaire de son conseil, la société a produit des observations. Le rapporteur y a répondu le 18 septembre suivant.

18. Le 10 septembre 2020, les services de la Commission ont adressé à la société une convocation à la séance de la formation restreinte du 5 novembre 2020.

19. Par courrier électronique du 25 août 2020, sur le fondement de l’article 40, alinéa 4, du décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi  » Informatique et Libertés  » (ci-après  » le décret du 19 mai 2019 « ), le rapporteur a demandé au président de la formation restreinte un délai supplémentaire de quinze jours pour répondre aux observations de la société, qui lui a été accordé le 27 août 2020. La société en a été informée le même jour.

20. Le 16 octobre, la société a produit de nouvelles observations en réponse à celles du rapporteur.

21. La société et le rapporteur ont présenté des observations orales lors de la séance de la formation restreinte du 5 novembre 2020.

II. Motifs de la décision

A. Sur la régularité de la procédure

1. Sur le grief tiré de l’absence de pouvoirs de la formation restreinte

22. La société considère que la formation restreinte ne dispose du pouvoir de prononcer les mesures visées à l’article 20 III de la loi  » Informatique et Libertés  » qu’en présence de manquements persistants.

23. En premier lieu, elle soutient que cette analyse découle de l’interprétation des termes de la loi, l’article 20 III de la loi  » Informatique et Libertés  » prévoyant la possibilité pour la formation restreinte d’avoir recours aux mesures prévues à l’article précité  » lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi « .

24. Le rapporteur soutient que l’interprétation de l’article 20 III de la loi  » Informatique et Libertés  » présentée par la société ne saurait être suivie. Le législateur a entendu permettre à la formation restreinte de la CNIL de prononcer une sanction, notamment pécuniaire, y compris en cas de manquement dûment constaté mais pour lequel une mise en demeure serait sans objet, le manquement ayant cessé et n’appelant plus de correction.

25. La formation restreinte considère que les mesures prises par un responsable de traitement pour faire cesser un manquement constaté, si elles justifient qu’aucune mise en demeure ou aucune injonction ne lui soient adressées pour l’avenir, ne la privent pas de la possibilité de prononcer une mesure correctrice, et notamment une amende administrative, dans la mesure où la mise en conformité du responsable de traitement n’a pas pour effet de faire disparaître l’existence de manquements passés.

26. Elle souligne que cette interprétation de l’article 20 de la loi  » Informatique et Libertés  » est dans la ligne du RGPD en ce que cet article vise à la responsabilisation des responsables de traitement. Les mesures correctrices relevant des pouvoirs de la formation restreinte de la CNIL peuvent être prises directement dans tous les cas, que le manquement puisse toujours, ou non, faire l’objet d’une mise en conformité. Le considérant 148 du RGPD précise ainsi que toute violation du présent règlement peut faire l’objet de sanctions :  » Afin de renforcer l’application des règles du présent règlement, des sanctions y compris des amendes administratives devraient être infligées pour toute violation du présent règlement, en complément ou à la place des mesures appropriées imposées par l’autorité de contrôle en vertu du présent règlement. […]. Il convient toutefois de tenir dûment compte de la nature, de la gravité et de la durée de la violation, du caractère intentionnel de la violation et des mesures prises pour atténuer le dommage subi, du degré de responsabilité ou de toute violation pertinente commise précédemment, de la manière dont l’autorité de contrôle a eu connaissance de la violation […] « . Le critère de durée de la violation s’applique donc aussi bien à un manquement terminé que persistant.

27. Par ailleurs, la formation restreinte observe que le Conseil d’Etat a retenu cette interprétation en rappelant que :  » Il résulte de ces dispositions, éclairées par les travaux préparatoires de la loi du 7 octobre 2016, que la formation restreinte de la CNIL peut, sans mise en demeure préalable, sanctionner un responsable de traitement dont les manquements aux obligations qui lui incombent ne sont pas susceptibles d’être régularisés, soit qu’ils soient insusceptibles de l’être, soit qu’il y ait déjà été remédié.  » (CE, n° 423559, 17 avril 2019, Association pour le développement des foyers).

28. En second lieu, la société soutient que l’absence de règles de prescription des manquements dans la loi  » Informatique et Libertés  » et le RGPD démontre que seuls des manquements en cours au jour de la séance de la formation restreinte peuvent être sanctionnés et qu’une interprétation contraire se heurterait à la jurisprudence retenue par la Cour européenne des droits de l’homme selon laquelle les règles de prescription sont une condition du procès équitable.

29. Le rapporteur rappelle que la Commission a été saisie de quatre plaintes entre 2018 et 2019, que des contrôles ont été effectués par la délégation de la CNIL en mai 2019 et en février 2020 et que le rapporteur désigné en décembre 2019 aux fins d’instruction de ces éléments a notifié son rapport le 28 février 2020. La formation restreinte considère donc que la Commission a appliqué un délai raisonnable entre les constats effectués par la délégation de contrôle et la saisine de la formation restreinte.

30. La formation restreinte relève à cet égard qu’il résulte de la jurisprudence de la Cour de justice de l’Union européenne que  » l’obligation de l’administration d’agir dans un délai raisonnable, dont le respect est susceptible d’être contrôlé par le juge de l’Union, offre un niveau de protection suffisant dans les situations où aucun délai de prescription n’est fixé par les textes.  » (CJUE, n° T-342/14, Ordonnance du Tribunal, CR contre Parlement européen et Conseil de l’Union européenne, 12 décembre 2014).

31. La formation restreinte considère ainsi que la société n’est pas fondée à soutenir qu’elle ne dispose du pouvoir de prononcer les mesures visées à l’article 20 III de la loi  » Informatique et Libertés  » qu’en présence de manquements persistants et actuels, et que la procédure suivie devant elle méconnait le droit à un procès équitable.

2. Sur le grief tiré de la méconnaissance du champ de la saisine de la formation restreinte

32. La société considère que la formation restreinte ne peut se prononcer sur le manquement allégué aux dispositions de l’article L. 34-5 du code des postes et des communications électroniques (ci-après le  » CPCE « ).

33. En premier lieu, la société soutient que la décision de contrôle n° 2019-082C de la présidente de la CNIL, les actes d’investigation ou d’instruction qui ont suivi, ainsi que la décision de la présidente du 19 décembre 2019 portant désignation d’un rapporteur et saisine de la formation restreinte, ne visent pas l’article L. 34-5 du CPCE. En conséquence, la formation restreinte ne pourrait se prononcer sur le manquement allégué aux dispositions de l’article L. 34-5 du CPCE sans méconnaître le champ de sa saisine.

34. La société soutient également que la formation restreinte ne peut se fonder sur les éléments de l’enquête pour établir un manquement à l’article L. 34-5 du CPCE sans méconnaître les principes de spécialité de l’enquête – imposant que l’enquête soit réalisée dans les limites de son champ défini par la décision qui en constitue la base juridique – et de loyauté de l’enquête – obligeant les enquêteurs à mentionner l’objet et la base juridique des investigations.

35. Le rapporteur rappelle que les décisions précitées visent la loi  » Informatique et Libertés  » et le RGPD et que les actes d’investigation ou d’instruction qui en résultent sont menés dans ce cadre. L’article 8 de la loi fixe les missions de la CNIL et précise notamment qu’elle  » veille à ce que les traitements de données à caractère personnel soient mis en œuvre conformément aux dispositions de la présente loi et aux autres dispositions relatives à la protection des données personnelles prévues par les textes législatifs et réglementaires, le droit de l’Union européenne et les engagements internationaux de la France « .

36. Le rapporteur soutient ainsi que la loi du 6 janvier 1978 modifiée renvoie à toutes les dispositions relatives à la protection des données à caractère personnel prévues par les textes législatifs et réglementaires. Les opérations de prospection visées par l’article L. 34-5 du CPCE concernent un traitement de données à caractère personnel et cet article donne compétence à la CNIL pour veiller à son respect lorsque les données traitées ont un caractère personnel. L’alinéa 6 de l’article L. 34-5 du CPCE prévoit ainsi que :  » La Commission nationale de l’informatique et des libertés veille, pour ce qui concerne la prospection directe utilisant les coordonnées d’un abonné ou d’une personne physique, au respect des dispositions du présent article en utilisant les compétences qui lui sont reconnues par la loi n° 78-17 du 6 janvier 1978 précitée « .

37. La formation restreinte considère que c’est dans ce cadre que la délégation de la CNIL a procédé à trois contrôles auprès de la société et que la formation restreinte a été saisie.

38. La formation restreinte souligne en outre que cette interprétation a été retenue par le Conseil d’Etat qui a reconnu la compétence de la CNIL pour veiller au respect des dispositions de l’article L. 34-5 du CPCE (CE, n° 368624, 11 mars 2015, Société TUTO4PC).

39. En conséquence, la formation restreinte a été régulièrement saisie et c’est sans méconnaitre les principes de spécialité et de loyauté qu’elle se fonde sur les éléments des contrôles pour examiner les faits commis par la société au regard des dispositions de l’article L. 34-5 du CPCE.

40. En second lieu, la société soutient que, si la formation restreinte pouvait être saisie de manquements allégués à l’article L. 34-5 du CPCE, les enquêteurs de la CNIL ne peuvent pas réaliser des mesures d’investigation à cet effet, cette prérogative étant réservée, en vertu de l’alinéa 7 de l’article L. 34-5 du CPCE, aux agents de la concurrence, de la consommation et de la répression des fraudes et aux fonctionnaires chargés de missions de protection économique des consommateurs.

41. Or, le rapporteur rappelle que les dispositions de l’alinéa 6 de l’article L. 34-5 du CPCE prévoient que la CNIL utilise ses compétences afin de veiller au respect de l’article précité pour ce qui concerne la prospection directe utilisant les coordonnées d’un abonné ou d’une personne physique. Ces compétences sont précisées dans la loi du 6 janvier 1978 modifiée et elles comportent, au titre de ses articles 19 et 20, des pouvoirs d’enquête et de sanction.

42. La formation restreinte considère ainsi que les agents de la CNIL sont compétents pour réaliser des missions de contrôle en vertu des dispositions de l’article L. 34-5 du CPCE afin de veiller au respect de cet article pour ce qui concerne précisément la prospection directe utilisant les coordonnées d’un abonné ou d’une personne physique.

3. Sur l’imprécision des griefs opposés à la société

43. La société souligne que les griefs notifiés dans le rapport de sanction ne sont délimités ni matériellement ni dans le temps et ne répondent pas au standard de preuve requis en matière pénale. En conséquence, la société soutient qu’elle n’est pas en mesure d’exercer utilement ses droits de la défense.

44. Le rapporteur indique que les faits sur lesquels les manquements ont été fondés ont été constatés lors des contrôles effectués par la délégation de la CNIL les 3 et 14 mai 2019 et le 20 février 2020. Ces manquements ont été matériellement et temporellement caractérisés dans le rapport notifié à la société. Le rapporteur estime ainsi avoir permis à la société d’exercer utilement ses droits de la défense.

45. Le rapporteur souligne également que la formation restreinte n’est pas une juridiction pénale et qu’elle dispose du pouvoir de prononcer des sanctions de nature administrative et qu’ainsi le standard de preuve requis devant la formation restreinte ne doit pas répondre aux exigences de la matière pénale mais à celles fixées par la loi  » Informatique et Libertés  » et par son décret d’application.

46. A cet égard, le rapporteur rappelle également que chaque grief est étayé par des éléments issus des opérations de contrôle dans le cadre desquelles un procès-verbal, comportant des pièces en annexe, est rédigé.

47. Au vu de l’ensemble de ces éléments, la formation restreinte considère que la délégation de contrôle a assuré un standard de preuve élevé qui permet de garantir leur fiabilité, que les manquements ont été matériellement et temporellement caractérisés dans le rapport notifié à la société et qu’ainsi, la société ne saurait se prévaloir d’une imprécision des griefs qui lui sont opposés.

B. Sur le manquement relatif à l’obligation de recueillir le consentement de la personne concernée par une opération de prospection directe au moyen d’un système automatisé de communications électroniques en application de l’article L. 34-5 du CPCE

1. Sur l’absence de consentement des personnes à la réception de messages de prospection commerciale

48. L’article L. 34-5 du CPCE dispose :  » Est interdite la prospection directe au moyen de système automatisé de communications électroniques au sens du 6° de l’article L. 32, d’un télécopieur ou de courriers électroniques utilisant les coordonnées d’une personne physique, abonné ou utilisateur, qui n’a pas exprimé préalablement son consentement à recevoir des prospections directes par ce moyen.

Pour l’application du présent article, on entend par consentement toute manifestation de volonté libre, spécifique et informée par laquelle une personne accepte que des données à caractère personnel la concernant soient utilisées à fin de prospection directe. […] « .

Aux termes de l’alinéa 6 du même article,  » La Commission nationale de l’informatique et des libertés veille, pour ce qui concerne la prospection directe utilisant les coordonnées d’un abonné ou d’une personne physique, au respect des dispositions du présent article en utilisant les compétences qui lui sont reconnues par la loi n° 78-17 du 6 janvier 1978 précitée. A cette fin, elle peut notamment recevoir, par tous moyens, les plaintes relatives aux manquements aux dispositions du présent article […] « .

49. Le rapporteur soutient que la société ne recueille pas le consentement des personnes dont les données à caractère personnel sont accessibles sur Internet, préalablement à l’envoi de messages de prospection commerciale.

50. Le rapporteur a relevé que, lors du contrôle du 14 mars 2019, la société a indiqué à la délégation de contrôle de la CNIL qu’elle constitue sa base de prospects à partir de données à caractère personnel accessibles en ligne sur le site web de réseau social professionnel de la société […]. Elle a précisé travailler avec deux sociétés, A et B, pour la création de bases de données à caractère personnel destinées à la prospection commerciale.

51. Tout d’abord, la société A établit des listes de prospection contenant les noms et prénoms de prospects, associés à la dénomination de l’entreprise au sein de laquelle ils travaillent. Ces données sont collectées par le service  » Sales Navigator  » proposé par la société […], qui recense l’ensemble des personnes travaillant dans une entreprise et une région. Par la suite la société […] transfère le fichier établi par la société A, à la société B, qui procède à l’enrichissement de ce fichier, notamment en ajoutant l’adresse électronique professionnelle des personnes.

52. La société a indiqué à la délégation de contrôle de la CNIL que les fichiers constitués à l’aide de ces deux sociétés lui permettent, par la suite, de solliciter les personnes susceptibles d’être intéressées par ses services. Pour ce faire, il revient enfin à une autre société, la société C, de procéder aux envois à ces prospects de courriels d’information et de codes promotionnels pour le compte de la société […].

53. La société a informé la délégation que, 635 033 prospects ont reçu, depuis 2017, de tels courriers électroniques de prospection.

54. La société soutient que la base légale du traitement ayant pour finalité la prospection commerciale des personnes, effectué sur leur adresse électronique professionnelle est l’intérêt légitime du responsable de traitement. La société a également précisé avoir pour ambition de devenir la référence des services de livraison de déjeuners d’affaires dans les locaux professionnels de ses clients et qu’il est donc  » vital  » pour elle d’acquérir une base de clients professionnels potentiels.

55. Le rapporteur a relevé que dans un premier temps, la société avait informé la délégation qu’elle ne recueillait pas le consentement des personnes dès lors que  » cet emailing de prospection – dont la base légale est l’intérêt légitime de […] – intervient strictement dans le cadre professionnel que constituent les déjeuners en entreprise (adresse de courriel professionnelle, livraison dans les locaux professionnels, aux heures d’exercice de l’activité professionnelle du client, etc.) « .

56. Dans sa réponse au rapport de sanction, la société a ensuite soutenu qu’elle s’assurait du consentement des personnes à ce que leurs données à caractère personnel soient utilisées à des fins de ciblage publicitaire en choisissant les services de la société […], dont la politique de confidentialité prévoit la communication des données à caractère personnel de ses membres à des annonceurs :  » En choisissant les services de la société […], […] a pris les précautions nécessaires pour s’assurer du consentement des prospects à ce que leurs données soient utilisées à des fins de ciblage publicitaire et à ce qu’elles soient communiquées à des annonceurs. En l’espèce, […] recours aux services de la société […] en tant que l’un de ses sous-traitants. La société […] agit donc au nom et pour le compte de […] qui peut donc légitimement se prévaloir du consentement recueilli par la société […] pour son compte.  »

57. La formation restreinte relève que le réseau social professionnel […] permet à des personnes de s’inscrire afin d’entrer en relation avec des professionnels, dans le cadre d’une recherche d’emploi, ou encore de partager des informations avec leur réseau professionnel et d’étendre ce réseau professionnel. La formation restreinte considère dès lors que les messages de prospection envoyés par la société pour la vente de repas sur le lieu de travail des personnes n’ont que peu de lien avec l’activité professionnelle des prospects.

58. La formation restreinte considère également que les prospects démarchés n’ont pas eu connaissance de la collecte de leurs données à caractère personnel par la société et qu’elle a procédé à une prospection par courriels et SMS, sans avoir préalablement recueilli leur consentement.

[… passage central omis : décision trop longue pour une cellule …]

94. Dans ces conditions, la formation restreinte considère que le manquement à l’article 15 du RGPD est constitué sur ces deux plaintes, bien que ces dernières ne démontrent pas un caractère structurel du manquement reproché à la société. La formation restreinte considère par ailleurs que la société ne s’était toujours pas mise en conformité à la date de clôture de l’instruction.

E. Sur le manquement relatif à l’obligation d’assurer la sécurité des données à caractère personnel en application de l’article 32 du RGPD

95. L’article 32 du Règlement dispose :

 » 1. Compte tenu de l’état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, y compris entre autres, selon les besoins :

a) la pseudonymisation et le chiffrement des données à caractère personnel ;

b) des moyens permettant de garantir la confidentialité, l’intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement ;

c) des moyens permettant de rétablir la disponibilité des données à caractère personnel et l’accès à celles-ci dans des délais appropriés en cas d’incident physique ou technique ;

d) une procédure visant à tester, à analyser et à évaluer régulièrement l’efficacité des mesures techniques et organisationnelles pour assurer la sécurité du traitement. […] ».

96. Le rapporteur a relevé que lors du contrôle en ligne du 3 mai 2019, la délégation a constaté qu’un mot de passe composé d’un seul caractère était accepté lors de la création d’un compte par une personne via l’application mobile et qu’un mot de passe composé de six caractères était accepté lors de la création d’un compte via le site web de la société.

97. Lors du contrôle du 20 février 2020, le rapporteur a relevé que si la société avait pris des mesures permettant de renforcer la composition du mot de passe requis pour la création d’un compte sur le site web de la société, un mot de passe composé d’un seul caractère était toujours accepté pour la création d’un compte sur l’application mobile.

98. Le rapporteur soutient donc que le mot de passe de connexion des clients à leur espace personnel, accessibles depuis l’application mobile, était toujours d’une robustesse insuffisante pour assurer la sécurité des données à caractère personnel, car composé d’un seul caractère.

99. En défense, la société conteste le caractère délibéré de défaut de sécurité qui lui est reproché et indique avoir modifié les mesures relatives à la gestion des mots de passe de connexion aux comptes des utilisateurs sur son application mobile à l’occasion de la mise à jour de cette dernière, le 5 mars 2020.

100. La formation restreinte considère que la longueur et la complexité d’un mot de passe demeurent des critères élémentaires permettant d’apprécier la force de celui-ci. Elle re