Protection des données : conservation excessive, information incomplète et sécurité insuffisante sanctionnées par la CNIL

La formation restreinte retient des manquements aux articles 5-1-e), 13, 28 et 32 du RGPD. La conservation doit être limitée à la durée nécessaire aux finalités poursuivies. Les durées de dix ans fondées sur les articles L. 213-1, D. 213-1 et D. 213-2 du code de la consommation ne s’appliquent qu’aux contrats portant sur une somme au moins égale à 120 euros. La conservation indifférenciée de contrats inférieurs à ce seuil et le maintien de comptes au-delà de la durée annoncée méconnaissent ce principe.

L’information fournie aux personnes doit préciser les bases juridiques des traitements concernés, les destinataires ou catégories de destinataires, les durées de conservation et le droit d’introduire une réclamation. La régularisation ultérieure ne fait pas disparaître les manquements antérieurs.

L’article 28, paragraphe 3, du RGPD impose un acte juridique complet avec chaque sous-traitant. Un avenant conclu après le contrôle ne couvre pas rétroactivement une carence contractuelle. L’article 32 exige des mesures de sécurité adaptées aux risques : mots de passe robustes, stockage sous forme hachée, références confidentielles suffisamment complexes et limitation des accès aux données conservées.

La CNIL prononce une amende de 100 000 euros sur le fondement de l’article 83 du RGPD et de l’article 20 de la loi du 6 janvier 1978, en tenant compte de la gravité, de la durée, du nombre de personnes concernées et des mesures correctives adoptées.

⬇️Télécharger la décision version officielle

La CNIL a relevé, sur un site d’annonces immobilières, des durées de conservation excessives, une information incomplète, des contrats de sous-traitance insuffisants et des mesures de sécurité défaillantes. Les données de certains clients étaient conservées dix ans et celles de comptes inactifs au-delà de cinq ans. Une amende de 100 000 euros et la publicité de la décision ont été prononcées.

La société exploite un site proposant aux particuliers des annonces et services liés aux transactions immobilières. Deux contrôles de la CNIL ont porté sur l’information des utilisateurs, la création des comptes, les durées de conservation, les contrats de sous-traitance, la sécurité des données et les courriels adressés aux utilisateurs.

La société conservait pendant dix ans certaines données de clients, y compris pour des contrats inférieurs à 120 euros, et maintenait en base active des données de comptes utilisateurs au-delà de cinq ans. Sa politique de confidentialité ne précisait pas suffisamment les bases juridiques, les destinataires, les durées de conservation ni le droit de réclamation.

Des contrats de sous-traitance étaient incomplets. Des mots de passe et références confidentielles étaient insuffisamment robustes ou conservés en clair. En revanche, les courriels liés aux alertes immobilières n’ont pas été qualifiés de prospection commerciale. La CNIL prononce une amende administrative de 100 000 euros et ordonne la publicité de sa décision.

• Conserver les données uniquement pendant la durée nécessaire aux finalités
• Appliquer le seuil de 120 euros aux obligations de conservation légale
• Supprimer les comptes lorsque la durée de conservation est atteinte
• Fournir une information complète et transparente au titre de l’article 13
• Formaliser toutes les mentions exigées par l’article 28
• Adapter les mesures de sécurité aux risques du traitement
• Tenir compte de la gravité, de la durée et du nombre de personnes concernées

• Extraction révélant 69 commandes sur 100 inférieures à 120 euros
• 2 394 538 comptes conservés entre cinq et dix ans
• 737 563 comptes conservés depuis plus de dix ans
• Constats des contrôles en ligne et sur place de la CNIL
• Politique de confidentialité et contrats de sous-traitance produits
• Constat du stockage en clair des mots de passe et références

La société demeure responsable des manquements constatés avant sa mise en conformité. Elle doit adapter ses durées de conservation, son information, ses contrats de sous-traitance et ses mesures de sécurité, tout en supportant l’amende et la publicité de la décision.

• Supprimer les données conservées au-delà des durées justifiées
• Différencier les contrats selon le seuil légal de 120 euros
• Actualiser la politique d’information des utilisateurs
• Compléter les actes juridiques conclus avec les sous-traitants
• Renforcer les mots de passe et hacher toutes les références secrètes
• Limiter les accès et organiser l’archivage intermédiaire

À faire

• Cartographier chaque finalité et durée de conservation
• Vérifier le seuil de 120 euros par contrat
• Mettre à jour les mentions d’information RGPD
• Contrôler les clauses de chaque sous-traitant
• Tester régulièrement les mesures de sécurité

À éviter

• Conserver indistinctement tous les comptes pendant dix ans
• Maintenir en base active les données devenues inutiles
• Stocker ou transmettre des mots de passe en clair
• Utiliser des références confidentielles prévisibles et non modifiables
• Compter sur une régularisation pour effacer un manquement passé

La limitation de la durée de conservation des données personnelles

L’article 5-1-e) du RGPD impose une conservation n’excédant pas la durée nécessaire aux finalités poursuivies. Les articles L. 213-1, D. 213-1 et D. 213-2 du code de la consommation justifient dix ans uniquement pour les contrats électroniques d’au moins 120 euros. La conservation par défaut de données relatives à des contrats inférieurs à ce seuil et le maintien de comptes au-delà de cinq ans caractérisent le manquement.

Les exigences d’information et d’encadrement des sous-traitants

L’article 13 du RGPD impose une information précise sur les bases juridiques, destinataires, durées de conservation et droit de réclamation. L’article 28, paragraphe 3, exige un acte juridique définissant notamment l’objet, la durée, les finalités, les données et les obligations des parties. Un avenant postérieur au contrôle ne couvre pas le manquement passé.

Les mesures de sécurité adaptées aux risques

Selon l’article 32 du RGPD, les mesures doivent garantir un niveau de sécurité adapté. La CNIL retient l’insuffisante robustesse des mots de passe et références confidentielles, leur transmission ou conservation en clair, ainsi que l’absence de tri et d’archivage intermédiaire des données inactives. Les corrections ultérieures n’effacent pas la responsabilité passée.

Règlement (UE) 2016/679 du 27 avril 2016, Article 5-1-e) du RGPD, Article 6 du RGPD, Article 13 du RGPD, Article 28 du RGPD, Article 32 du RGPD, Article 56 du RGPD, Article 60 du RGPD, Article 83 du RGPD, Loi n° 78-17 du 6 janvier 1978, Article 20 de la loi n° 78-17 du 6 janvier 1978, Article 22 de la loi n° 78-17 du 6 janvier 1978, Article L. 213-1 du Code de la consommation, Article D. 213-1 du Code de la consommation, Article D. 213-2 du Code de la consommation, Article L. 34-5 du Code des postes et des communications électroniques