La Présidente

x

Paris le 14 juillet 2018

Monsieur,

Je fais suite à la décision n° 2017-073 que j’ai prise le 20 novembre 2017 mettant en demeure la société X, ainsi qu’aux échanges qui ont suivi.

Au regard des éléments de réponse apportés, je vous informe que j’ai décidé de procéder à la clôture en l’état de votre dossier ainsi que des procédures de contrôle n° 2017-031C et 2017-041C.

Comme annoncé dans le courrier de notification de la mise en demeure, cette clôture fera l’objet de la même mesure de publicité que celle de la mise en demeure. Ce courrier sera donc publié sur le site internet www.legifrance.fr et sur celui de la CNIL, de manière identique à la mise en demeure.

De nouveaux constats effectués par la délégation de contrôle de la Commission ont en effet permis de relever que les propos échangés avec les jouets ne sont plus transférés vers les serveurs de la société […] situés […] et que la reconnaissance vocale n’est plus utilisée.

Dans ces conditions, il apparaît que l’utilisation des jouets ne conduit plus à mettre en œuvre un traitement relevant du champ d’application de la loi Informatique et Libertés du 6 janvier 1978 modifiée, applicable au jour des constats.

En tout état de cause, j’attire votre attention sur l’entrée en application du règlement européen 2016/679 sur la protection des données (RGPD) le 25 mai 2018 et notamment sur son article 3 qui prévoit que l e présent règlement s’applique au traitement des données à caractère personnel relatives à des personnes concernées qui se trouvent sur le territoire de l’Union par un responsable du traitement ou un sous-traitant qui n’est pas établi dans l’Union, lorsque les activités de traitement sont liées: a) à l’offre de biens ou de services à ces personnes concernées dans l’Union, qu’un paiement soit exigé ou non desdites personnes […].

Par conséquent, dès lors que vous vendez des produits à destination de personnes se trouvant sur le territoire de l’Union européenne, vous êtes soumis aux obligations incombant aux responsables de traitements prévues par le règlement précité. J’attire donc votre attention sur la nécessité, dans cette hypothèse, de veiller au respect du RGPD qui participe à la protection des données à caractère personnel, droit fondamental reconnu à chaque personne.

S’agissant de la sécurisation des jouets, la délégation de la CNIL a constaté qu’il était toujours possible de s’appairer aux jouets, avec un dispositif équipé d’un système de communication BLUETOOTH, sans authentification. La CNIL n’étant plus compétente pour poursuivre les investigations relatives à ces jouets, je vous informe transmettre le dossier à la Direction générale de la concurrence, de la consommation et de la répression des fraudes (DGCCRF) chargée de veiller à la sécurité et à la conformité des produits et services en France.

Enfin, je relève que si vous avez indiqué, dans votre courrier reçu le 22 décembre 2017, qu’une boite de dialogue contenant une information des personnes pourrait apparaître avant de compléter le formulaire accessible sur l’application […] collectant des données à caractère personnel, aucune mesure n’a été prise en ce sens. Je vous invite donc à compléter le formulaire, ou tout autre document directement porté à la connaissance des personnes, en y indiquant notamment l’identité du responsable du traitement, les finalités pour lesquelles les données sont collectées ainsi que l’existence des droits dont bénéficient les personnes.

Pour toute information complémentaire, vous pouvez contacter le service des sanctions (01.53.73.22.22).

Vous trouverez également ci-joint la version anglaise de ce courrier. Cette traduction a été réalisée pour information, seule la version française de ce document faisant foi.

Je vous prie d’agréer, Monsieur, l’expression de mes salutations distinguées.

Isabelle FALQUE-PIERROTIN