La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de Messieurs Alexandre LINDEN, président, Philippe-Pierre CABOURDIN, vice-président, et de Mesdames Sylvie LEMMET et Christine MAUGÜE, membres ;

Vu la Convention no 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;

Vu la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;

Vu le code des postes et des communications électroniques ;

Vu le décret no 2019-536 du 29 mai 2019 pris pour l’application de la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;

Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;

Vu l’ordonnance no 2020-306 du 25 mars 2020 relative à la prorogation des délais échus pendant la période d’urgence sanitaire ;

Vu les saisines nos […]

Vu les décisions no 2019-081C du 24 avril 2019 et no 2019-102C du 6 juin 2019 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements mis en œuvre par cet organisme ou pour le compte de la société […] et ses filiales, et notamment les sociétés […], […], […], […] et […] ;

Vu les observations adressées à la Commission par la société […] le 5 décembre 2019 ;

Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte, en date du 10 décembre 2019 ;

Vu le rapport de Monsieur Éric PÉRÈS, commissaire rapporteur, notifié à la société […] le 10 janvier 2020 ;

Vu les observations écrites versées par le conseil de la société […] le 10 mars 2020 ;

Vu la réponse du rapporteur à ces observations notifiée par courriel le 22 avril 2020 au conseil de la société ;

Vu les observations écrites du conseil de la société […] reçues le 24 août 2020 ;

Vu les observations complémentaires reçues le 15 septembre 2020 ;

Vu les observations orales formulées lors de la séance de la formation restreinte ;

Vu les autres pièces du dossier ;

Étaient présents, lors de la séance de la formation restreinte du 17 septembre 2020 :

– Monsieur Éric PÉRÈS, commissaire, entendu en son rapport ;

En qualité de représentants de la société […] :

– […] ;

– […] ;

– […] ;

– […] ;

– […] ;

– […].

La société […] ayant eu la parole en dernier ;

La formation restreinte a adopté la décision suivante :

I. Faits et procédure

1. La société […] (ci-après  » la société « ) est une filiale du groupe […] (ci-après  » le groupe « ) sis […], intervenant dans de nombreux domaines. Son activité principale est la grande distribution, mais le groupe a diversifié ses activités, en intervenant par exemple dans le secteur bancaire et assurantiel, ainsi que comme agence de voyages ou encore vendeur spécialisé dans le commerce en ligne.

2. En 2019, le groupe […] employait environ 360 000 salariés, avait réalisé un chiffre d’affaires d’environ 80 milliards d’euros et un résultat net ajusté, part du groupe, de 905 millions d’euros, en hausse par rapport à 2018 (804 millions d’euros). La société […] a réalisé, en 2019, un chiffre d’affaires d’environ 14 millions d’euros, pour un résultat net déficitaire d’environ 1,6 milliard d’euros.

3. Le groupe […] est notamment constitué de la société mère […], qui détient la société […] à 99,61%. Cette dernière détient la société […] à 82% et la société […] à 99%. En 2019, […] a réalisé un chiffre d’affaires de 14,3 milliards d’euros et […] a réalisé un chiffre d’affaires de 636 millions d’euros.

4. Pour les besoins de son activité, la société […] édite notamment le site web […] (ci-après  » le site […] « ), permettant à ses clients de créer et d’accéder à un espace personnel et de passer commande.

5. Entre le 8 juin 2018 et le 6 avril 2019, la Commission a été destinataire de quinze plaintes de particuliers relatives aux sociétés du groupe […].

6. Sept de ces saisines (nos […]) faisaient état de prospection commerciale alors que les personnes concernées avaient préalablement exprimé leur opposition.

7. Quatre de ces saisines (nos […]) faisaient suite à des demandes d’effacement des données auxquelles il n’avait pas été fait droit.

8. Trois de ces saisines (nos […]) faisaient suite à des demandes d’accès aux données auxquelles il n’avait pas été fait droit.

9. Une saisine (no […]) faisait étant d’un lien de désabonnement dans un courriel de prospection commerciale.

10. En application des décisions no 2019-081C du 24 avril 2019 et no 2019-102C du 6 juin 2019 de la présidente de la Commission, cinq contrôles ont été opérés en ligne ou dans les locaux de la société :

– un contrôle en ligne, réalisé le 24 mai 2019, relatif au site […] et aux traitements mis en œuvre à partir de ce site ;

– un contrôle sur place, réalisé le 28 mai 2019, portant sur les traitements mis en œuvre par la société […], notamment dans le cadre du programme fidélité […] (ci-après  » le programme fidélité « ), ainsi que les différentes bases de données qu’elle utilisait pour la gestion de sa clientèle ;

– un contrôle sur place, réalisé les 11 et 12 juin 2019, relatif à l’exercice des droits et aux réponses apportées à plusieurs plaignants ayant saisi la CNIL d’une réclamation à l’encontre de la société ;

– un contrôle sur place, réalisé les 26 et 27 juin 2019, portant plus particulièrement sur la gestion des données à caractère personnel dans le cadre du programme fidélité ;

– un contrôle sur place, réalisé le 11 juillet 2019, relatif aux mesures de sécurité développées par […] pour protéger les données à caractère personnel qu’elle traite et aux violations de données intervenues.

11. Ces missions avaient pour objet de vérifier le respect, par la société, de l’ensemble des dispositions du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (ci-après  » le Règlement  » ou  » le RGPD « ) et de la loi no 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après  » la loi du 6 janvier 1978  » ou  » la loi informatique et libertés « ).

12. Différents échanges sont intervenus par courriel entre la société et la délégation de contrôle. Ces échanges concernaient la transmission de documents demandés à l’occasion des contrôles. Le 5 décembre 2019, la société a notamment fait parvenir à la délégation de contrôle des observations écrites reprenant la majorité des points relevés à l’occasion des contrôles et annonçant différentes actions visant à sa mise en conformité.

13. Aux fins d’instruction de ces éléments, la présidente de la Commission a désigné Monsieur Éric PÉRÈS en qualité de rapporteur, le 10 décembre 2019, sur le fondement de l’article 22 de la loi du 6 janvier 1978.

14. À l’issue de son instruction, le rapporteur a fait signifier par huissier de justice à la société […], le 10 janvier 2020, un rapport détaillant les manquements au RGPD, à la loi informatique et libertés et au code des postes et des communications électroniques qu’il estimait constitués en l’espèce.

15. Ce rapport proposait à la formation restreinte de la Commission de prononcer une injonction de mettre en conformité le traitement avec les dispositions des articles 5, 12, 13, 15, 17, 21, 32 et 33 du Règlement et à l’article 82 de la loi informatique et libertés, assortie d’une astreinte, ainsi qu’une amende administrative. Il proposait également que cette décision soit rendue publique et ne permette plus d’identifier nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.

16. Le 29 janvier 2020, la société a sollicité la prolongation d’un mois du délai dans lequel elle devait répondre au rapport, le report de la séance initialement prévue le 24 mars 2020 ainsi qu’une rencontre avec le rapporteur. Le 3 février, le président de la formation restreinte a accordé la prolongation sollicitée pour une durée d’un mois. Le 6 février, le secrétaire général de la CNIL a fait droit à la demande de report de la séance au 21 avril 2020. Le même jour, le rapporteur a refusé la rencontre sollicitée par la société.

17. Le 10 mars 2020, par l’intermédiaire de son conseil, la société a produit des observations et formulé une demande pour que la séance devant la formation restreinte se tienne à huis clos.

18. Par courrier électronique du 23 mars 2020 et sur le fondement de l’article 40, alinéa 4, du décret no 2019-536 du 29 mai 2019, le rapporteur a demandé au président de la formation restreinte un délai supplémentaire de quinze jours pour répondre aux observations de la société.

19. Par courrier du 24 mars 2020, prenant notamment acte du contexte de la crise sanitaire, le président de la formation restreinte a fait droit à la demande du rapporteur.

20. Par un courrier du même jour, la société a été informée du délai supplémentaire accordé au rapporteur et du fait qu’elle disposait, en vertu de l’alinéa 5 de l’article 40 du décret no 2019-536 du 29 mai 2019, d’un délai d’un mois pour répondre à la réponse du rapporteur. Le courrier l’informait également du report de la séance de la formation restreinte, initialement prévue le 21 avril 2020.

21. Par courrier électronique du 7 avril 2020, le rapporteur a demandé au président de la formation restreinte un nouveau délai supplémentaire de quinze jours pour répondre aux observations de la société, qui lui a été accordé le 8 avril 2020. La société en a été informée le même jour.

22. Le rapporteur a répondu aux observations de la société le 22 avril 2020.

23. Par un courrier du même jour, le secrétaire général de la CNIL a informé la société qu’elle pouvait transmettre ses observations à la réponse du rapporteur jusqu’au 24 août 2020 en application de l’ordonnance no 2020-306 du 25 mars 2020 relative à la prorogation des délais échus pendant la période d’urgence sanitaire.

24. Le 30 juin 2020, le président de la formation restreinte a fait droit à la demande de huis clos formulée par la société au motif que certains éléments versés aux débats étaient protégés par le secret des affaires, tel que prévu par l’article L ;151-1 du code du commerce.

25. Le 5 août 2020, les services de la CNIL ont notifié à la société une convocation à la séance de la formation restreinte du 17 septembre 2020.

26. Le 24 août, puis le 15 septembre, la société a produit de nouvelles observations en réponse à celles du rapporteur.

27. La société et le rapporteur ont présenté des observations orales lors de la séance de la formation restreinte.

II. Motifs de la décision

A. Sur le manquement à l’obligation de conserver les données à caractère personnel pour une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées

28. L’article 5-1 e) du Règlement dispose que les données à caractère personnel doivent être  » conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées « .

1. Les données des clients membres du programme de fidélité et des utilisateurs du site […]

29. D’une part, le rapporteur reproche à la société d’avoir fixé des durées de conservation excédant les durées nécessaires aux finalités des traitements. D’autre part, il reproche à la société d’avoir conservé des données à caractère personnel pendant une durée supérieure à celles prévues.

30. La société reconnaît ces points, mais rappelle qu’elle avait décidé, avant les contrôles de la CNIL, de réduire les durées de conservations de ses clients inactifs et qu’elle avait entamé les opérations de purges nécessaires au respect de ces nouvelles durées. Elle indique en outre avoir achevé l’ensemble de ces opérations durant la procédure de sanction.

31. Sur le premier point, la formation restreinte rappelle qu’au jour des contrôles, la société a indiqué que les données des clients  » fidélité  » étaient conservées en base active pendant quatre ans à compter de leur dernière activité (celle-ci pouvant s’entendre, selon les situations, comme la dernière transaction avec passage de la carte fidélité en caisse d’un magasin, la dernière transaction en ligne, la dernière modification de l’espace personnel sur le site web de la société ou le dernier contact avec le service client).

32. Elle rappelle que le programme fidélité établi par la société a pour but la prospection commerciale de ses adhérents, ainsi qu’il ressort des mentions d’information présentes sur le bulletin d’adhésion. La formation restreinte relève que les clients de la grande distribution, a fortiori ceux d’un programme  » fidélité « , sont des clients d’habitude retournant de façon régulière dans les mêmes magasins. Dès lors, elle considère qu’un client n’ayant pas commercé avec la société pendant plusieurs années ne doit plus être considéré comme un client actif. À titre d’illustration, tant l’ancienne norme simplifiée no 48 relative aux fichiers clients-prospects et à la vente en ligne que le récent projet de référentiel relatif aux traitements de données à caractère personnel mis en œuvre aux fins de gestion des activités commerciales recommandent que les données de clients inactifs soient conservées pendant une durée de trois ans à compter du dernier contact avec la société. Si cette durée est indicative et ne s’impose pas en tant que telle aux responsables de traitement, la formation restreinte considère qu’elle constitue une référence permettant d’apprécier une durée appropriée. En l’espèce, elle relève que cette durée est déjà conséquente dans le secteur de la grande distribution. Si les particularités des traitements mis en œuvre par la société […], et notamment l’interconnexion profonde de ses bases, peuvent justifier que cette durée de trois ans ne soit pas jugée excessive, la formation restreinte estime qu’elle ne saurait être étendue jusqu’à la durée de quatre ans initialement fixée par la société. Considérant cette finalité de prospection commerciale du traitement  » fidélité « , elle estime qu’une durée de conservation de quatre ans n’était pas strictement nécessaire à la finalité poursuivie, et donc excessive.

33. Elle relève néanmoins que la société a, avant l’engagement des procédures de contrôle, engagé un plan visant à réduire cette durée de conservation à trois ans pour l’ensemble de ses bases de données. Au regard de l’interconnexion entre les différentes bases de données de la société et de la nécessité opérationnelle de fixer une durée de conservation identique pour l’ensemble de ses données, la durée de conservation de trois ans pour les clients inactifs apparaît proportionnée à la finalité poursuivie.

34. Sur le deuxième point, la formation restreinte relève, tout d’abord, que la société reconnaît un retard dans la mise en œuvre de son programme d’effacement des données mais souligne les efforts importants fournis depuis l’engagement de la procédure pour se mettre en conformité. La formation restreinte note que la délégation de contrôle a constaté la présence de données concernant des clients inactifs depuis plus de quatre ans, et notamment plus de vingt-huit millions de clients membres du programme fidélité inactifs depuis cinq à dix ans. S’agissant des utilisateurs du site […], la formation restreinte souligne qu’étaient conservées les données de plus de 750 000 utilisateurs dont l’acte d’achat remontait de cinq à dix ans, et près de 20 000 utilisateurs dont le dernier achat remontait à plus de dix ans.

35. La formation restreinte considère donc, au vu de ces éléments, qu’un manquement à l’article 5-1-e) du RGPD est constitué.

36. La formation restreinte souligne cependant les moyens très importants, tant organisationnels que financiers, déployés par la société et constate, au jour de la séance, la conformité au Règlement des pratiques de la société. Cette dernière démontre en effet avoir mis en place un système automatisé de suppression des données de ses clients (tant du programme fidélité que du site […]) inactifs depuis plus de trois ans.

2. Les pièces d’identité conservées dans le cadre de l’exercice des droits

37. Le rapporteur reproche à la société d’avoir conservé pendant une durée d’un à six ans les pièces d’identité qui lui étaient communiquées par les personnes concernées dans le cadre de l’exercice d’un droit. Il considère que cette durée est excessive, les données étant conservées au-delà de la durée nécessaire pour l’atteinte de la finalité pour laquelle elles sont traitées.

38. Sur ce point, la société souligne la modification de ces pratiques depuis la notification du rapport de sanction, les titres d’identité n’étant plus conservés que pendant la durée relative au traitement de la demande en question.

39. La formation restreinte relève que la délégation de contrôle a effectivement constaté que des copies de cartes nationales d’identité de requérants étaient conservées par la société pendant une durée pouvant aller d’un à six ans.

40. Or, elle considère que, dès qu’il a été fait droit à la demande, la société n’a plus besoin de conserver une copie de la pièce d’identité du requérant. La fourniture de ce document a en effet pour seul but de justifier de l’identité de la personne dont émane la demande et il n’est pas nécessaire de le conserver une fois l’identité confirmée.

41. La formation restreinte estime également que, pour démontrer qu’elle a effectivement fait droit à la demande, la société peut, au titre d’un archivage intermédiaire à des fins contentieuses, ne conserver que le courrier de réponse favorable, élément dont la conservation présente, au demeurant, un risque moindre pour la personne concernée.

42. Elle considère donc, au vu de ces éléments, qu’un manquement à l’article 5-1-e) du RGPD est constitué.

43. Elle souligne néanmoins les modifications apportées dès la notification du rapport et observe que les nouvelles pratiques de la société sont, au jour de la séance, en conformité avec le Règlement. Il a en effet été démontré que les pièces d’identité sont désormais supprimées dès qu’il a été fait droit à la demande.

B. Sur le manquement relatif aux modalités d’exercice des droits

44. L’article 12 du Règlement dispose, d’une part, que  » le responsable du traitement facilite l’exercice des droits conférés à la personne concernée au titre des articles 15 à 22. Dans les cas visés à l’article 11, paragraphe 2, le responsable de traitement ne refuse pas de donner suite à la demande de la personne concernée d’exercer les droits que lui confèrent les articles 15 à 22, à moins que le responsable du traitement ne démontre qu’il n’est pas en mesure d’identifier la personne concernée  » et que  » lorsque le responsable du traitement a des doutes raisonnables quant à l’identité de la personne physique présentant la demande visée aux articles 15 à 21, il peut demander que lui soient fournies des informations supplémentaires nécessaires pour confirmer l’identité de la personne concernée « .

45. Il dispose, d’autre part, que  » le responsable du traitement fournit à la personne concernée des informations sur les mesures prises à la suite d’une demande formulée en application des articles 15 à 22, dans les meilleurs délais et en tout état de cause dans un délai d’un mois à compter de la réception de la demande. Au besoin, ce délai peut être prolongé de deux mois, compte tenu de la complexité et du nombre de demandes. Le responsable du traitement informe la personne concernée de cette prolongation et des motifs du report dans un délai d’un mois à compter de la réception de la demande.  »

46. En premier lieu, le rapporteur a relevé que, sauf dans les cas d’opposition au traitement des données à des fins de prospection commerciale, la société demandait un justificatif d’identité de manière systématique lors de l’exercice d’un droit.

47. La société a souligné, lors de ses échanges avec le rapporteur, que cette pratique a été abandonnée dès le 23 octobre 2019.

48. La formation restreinte relève que la société ne réservait pas la demande d’un justificatif d’identité aux seuls cas où existait un doute raisonnable sur l’identité de la personne, cette demande étant systématique. Elle souligne que la présence (constatée lors des contrôles) des justificatifs d’identité accompagnant les demandes, comme les courriers en réponse de la société communiqués à la CNIL par les plaignants, ont démontré l’existence de cette pratique. En effet, la CNIL a été informée d’une demande en ce sens s’agissant de Messieurs […], […], […], […], […] et […] et de Madame […] sans que la société justifie de doutes raisonnables quant à l’identité de la personne.

49. La formation restreinte considère que le caractère systématique des demandes de justificatifs d’identité, reconnu par la société, suffit à démontrer que ces demandes n’étaient pas limitées aux situations où la société avait  » des doutes raisonnables quant à l’identité de la personne physique présentant la demande « .

50. Elle considère donc, au vu de ces éléments, qu’un manquement à l’article 12 du RGPD est constitué.

51. Elle souligne néanmoins les modifications apportées par la société et constate que les nouvelles pratiques de la société sont, au jour de la séance, en conformité avec le Règlement. Il est en effet démontré que les courriers de réponse aux demandes d’exercice de droit n’exigent plus de justificatif d’identité de manière systématique.

52. En second lieu, le rapporteur reproche à la société le délai dans lequel il était répondu aux demandes d’exercice de droit. Il souligne que les délais de réponse varient mais peuvent atteindre neuf mois, sans qu’aucune information ne soit communiquée dans l’attente aux personnes concernées. Il estime que ces retards de traitement sont récurrents. À titre d’illustration, la demande de suppression et d’opposition de Madame […] a été reçue le 4 juillet 2018. Le retrait de son consentement à la prospection publicitaire a été retranscrit en base de données le 15 avril 2019, soit plus de neuf mois plus tard. La demande d’accès de Monsieur […] a été reçue le 7 novembre 2018 et une réponse lui a été apportée le 10 juin 2019, soit plus de sept mois plus tard. La demande d’accès et d’opposition de Monsieur […] a été enregistrée dans l’outil  » JIRA  » le 10 janvier 2019. Il ressort pourtant des documents communiqués à la CNIL par le plaignant que la société a accusé réception de sa première demande dès le 9 novembre 2018. Une réponse a été apportée à sa demande concernant l’opposition à la prospection le 11 juin 2019, soit plus de sept mois plus tard.

53. Sur ce point, la société reconnaît, tant dans sa deuxième réponse aux observations du rapporteur que lors de la séance de la formation restreinte, un retard chronique dans le traitement des demandes au moment du contrôle. Elle souligne cependant les efforts particulièrement importants déployés depuis les opérations de contrôle, la restructuration en profondeur de l’organisation des équipes travaillant sur ces questions, et la transformation de leurs méthodes de travail, avec notamment le développement de nouveaux outils ad hoc qui améliorent l’attribution et le traitement des demandes d’exercice de droit, réduisant leur délai de traitement ainsi que le risques d’erreur.

54. La formation restreinte observe que l’organisation de la société entraînait, structurellement, un retard dans le traitement des demandes et prend note que la société indique que cette défaillance structurelle trouvait son origine dans une mauvaise appréciation des conséquences du RGPD. L’entrée en application de ce texte a augmenté le nombre de demandes auxquelles elle a dû faire face, dans des proportions inattendues (passant, avant l’entrée en application du RGPD, d’une à deux demandes par jour à parfois plus de 75 demandes par jour après le 25 mai 2018).

55. La formation restreinte constate que ce défaut d’anticipation a eu des conséquences directes pour les personnes exerçant leurs droits, les contraignant parfois à formaliser plusieurs relances face au silence gardé par la société. La formation restreinte considère donc, au vu de ces éléments, qu’un manquement à l’article 12 du RGPD est constitué.

56. Elle souligne néanmoins les modifications profondes et efficaces apportées par la société et constate que les nouvelles pratiques de la société sont, au jour de la séance, en conformité avec le Règlement. La société démontre aujourd’hui un délai moyen de réponse aux demandes inférieur à quinze jours, parfois même inférieur à dix jours. Elle démontre également que plus aucune réponse n’a été envoyée hors délai depuis le changement de ses processus internes et le développement de nouveaux outils.

C. Sur le manquement relatif à l’information des personnes

57. L’article 12 du RGPD dispose que  » le responsable du traitement prend des mesures appropriées pour fournir toute information visée aux articles 13 et 14 […] en ce qui concerne le traitement à la personne concernée d’une façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples […] « . Les articles 13 et 14 dressent la liste des informations devant être communiquées aux personnes concernées lorsque les données à caractère personnel sont collectées directement auprès d’elles et indirectement.

1. S’agissant de l’accessibilité de l’information

58. En premier lieu, le rapporteur considère que l’information délivrée n’était pas aisément accessible.

59. S’agissant d’abord de l’information communiquée sur le site […], il relève en effet que la multiplicité des pages à consulter, des liens présents dans les différentes pages, ainsi que la redondance des informations ne permettent pas de considérer que les informations pertinentes pour les personnes sont aisément accessibles.

60. S’agissant ensuite de l’information communiquée aux personnes adhérant en ligne au programme fidélité, le rapporteur estime que les informations n’étaient pas aisément accessibles puisqu’elles étaient insérées à l’intérieur des conditions générales d’utilisation de la carte […].

61. S’agissant enfin de l’information délivrée aux personnes adhérant au programme fidélité à l’aide d’un bulletin papier, le rapporteur relève que les informations n’étaient pas non plus aisément accessibles. Il relève en effet que le bulletin résumait les mentions essentielles et renvoyait pour des mentions plus complètes, vers la page d’accueil du site […] sans plus de précisions.

62. Sur ces points, la société avance qu’une page dédiée à la protection des données était directement accessible par un lien hypertexte en pied de page, et qu’elle a modifié les mentions d’information sur son site web le 22 novembre 2019, soit préalablement à l’ouverture de la procédure de sanction et à la notification du rapport. Ces modifications importantes ont notamment consisté en la fusion de l’ensemble des mentions d’information dans un document unique, la conservation d’une page dédiée à l’exercice des différents droits, et une reformulation de l’information communiquée afin de la rendre plus lisible, plus précise et plus simple.

63. La formation restreinte relève que la société a fait le choix d’une information en plusieurs niveaux, comme le lui permet le Règlement.

64. Dans cette configuration, la formation restreinte estime particulièrement important que l’information demeure  » aisément accessible « , comme l’exige l’article 12 du Règlement. La présentation de l’information en plusieurs niveaux augmente en effet le risque que l’information soit plus difficile à trouver. Or, le considérant 39 du RGPD souligne que  » le principe de transparence exige que toute information et communication relatives au traitement de ces données à caractère personnel soient aisément accessibles, faciles à comprendre, et formulées en des termes clairs et simples « . Le considérant 58 dispose également que  » le principe de transparence exige que toute information adressée au public ou à la personne concernée soit concise, aisément accessible et facile à comprendre, et formulée en des termes clairs et simples et, en outre, lorsqu’il y a lieu, illustrée à l’aide d’éléments visuels.  »

65. En l’espèce, la formation restreinte considère, d’une part, que l’accès aux mentions d’information sur le site […] était malaisé, puisque ces dernières étaient regroupées dans l’article 3 des conditions générales d’utilisation du site […] que l’utilisateur devait donc parcourir. Il en va de même pour les mentions d’information relatives au programme de fidélité qui figuraient dans l’article 10 des conditions générales d’utilisation de la carte […].

[… passage central omis : décision trop longue pour une cellule …]

162. En conséquence, la formation restreinte considère que l’absence de mise en place de l’authentification préalable obligatoire à la suite de la découverte de la vulnérabilité – alors que cette mesure avait été identifiée et qu’elle est la seule mesure permettant d’empêcher complètement le risque – constitue un manquement à l’article 32 du Règlement.

163. La formation restreinte constate cependant que la société a mis en place une authentification obligatoire le 17 juillet 2019.

I. Sur le manquement relatif à la notification des violations de données à caractère personnel

164. L’article 33 du Règlement dispose qu’  » en cas de violation de données à caractère personnel, le responsable du traitement en notifie la violation en question à l’autorité de contrôle compétente conformément à l’article 55, dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, à moins que la violation en question ne soit pas susceptible d’engendrer un risque pour les droits et libertés des personnes physiques « .

165. Le rapporteur estime que la société a manqué à son obligation de notifier les violations de données à caractère personnel, cette obligation ressortant des circonstances de la violation et des données concernées.

166. Il ressort des constatations effectuées lors du contrôle du 11 juillet 2019 que la société a identifié et consigné une attaque informatique dont elle avait été victime le 1er juillet 2019. Cette attaque, utilisant le service d’authentification de l’application mobile du groupe, a pris la forme de 800 000 tentatives de connexion à partir de 10 000 adresses IP. Elle a abouti à 4 000 authentifications réussies et à 275 accès effectifs aux comptes de clients. Cette violation n’a pas été notifiée à la CNIL.

167. En défense, la société a indiqué que la violation était peu susceptible d’engendrer un risque pour les droits et libertés des personnes. Elle précise également que les personnes concernées n’ont subi aucun préjudice financier puisqu’aucun point de fidélité n’a été soustrait. Elle souligne qu’en toute hypothèse, les conditions générales d’utilisation de la carte […] prévoient le remboursement des cagnottes des personnes concernées en cas d’attaque par des tiers.

168. La formation restreinte rappelle qu’en cas de violation de données à caractère personnel, le principe est celui de la notification à l’autorité de contrôle. L’absence de notification n’est possible que par exception, lorsque la violation n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes. En l’espèce, la formation restreinte considère que l’analyse des risques liés à cette violation n’amène pas à faire application de cette exception à l’obligation de notification. En effet, la gravité de la violation découle de l’origine à l’évidence malveillante de cette attaque, du grand nombre de personnes concernées et de la combinaison de plusieurs données personnelles auxquelles l’attaque a permis d’accéder et qui permettent l’identification et le contact direct des personnes concernées (les comptes clients pouvant comporter notamment l’identité des personnes, leur numéro de téléphone, leur adresse électronique et leur adresse physique).

169. La formation restreinte relève que les 4 000 comptes pour lesquels aucun accès effectif n’a été constaté mais qui ont fait l’objet d’une authentification réussie doivent être regardés comme participant à l’appréciation du risque. En effet, la formation restreinte rappelle que de nombreuses personnes utilisent une co