Protection des données : conservation, information, sécurité et consentement aux traceurs

La formation restreinte retient un manquement à l’article 5-1-e) du RGPD : l’inactivation d’un compte ne constitue ni une suppression ni une anonymisation. Les données doivent être supprimées ou anonymisées lorsque la finalité cesse de le justifier, sauf archivage intermédiaire encadré. La conservation de dix ans prévue par les articles L. 213-1, D. 213-1 et D. 213-2 du code de la consommation ne dispensait pas la société de trier les données concernées et celles devant être supprimées. La conservation des comptes non confirmés pendant un an n’est toutefois pas sanctionnée, la finalité et la durée étant justifiées.

Les articles 12 et 13 du RGPD imposent une information concise, transparente, compréhensible et aisément accessible. Une politique de confidentialité uniquement en anglais, obsolète, dépourvue d’indications sur la durée de conservation et le droit de réclamation, ne satisfait pas ces exigences, notamment lorsque des coordonnées bancaires sont traitées.

L’article 32 du RGPD impose des mesures de sécurité adaptées aux caractéristiques du traitement, aux risques, à l’état des connaissances et aux coûts. La décision relève notamment l’insuffisante robustesse des mots de passe, la conservation de mots de passe en clair et l’emploi d’une fonction de hachage obsolète.

L’article 82 de la loi Informatique et Libertés subordonne l’accès ou l’inscription d’informations dans le terminal au consentement préalable, hors exemptions strictes. Google Analytics et reCaptcha, poursuivant des finalités excédant la seule communication ou le service expressément demandé, nécessitaient ce consentement. La mise en conformité postérieure n’efface pas la responsabilité passée. Des amendes de 90 000 euros et 15 000 euros sont prononcées, avec publicité temporairement anonymisée.

⬇️Télécharger la décision version officielle

La CNIL a constaté que des comptes inactifs d’un service de paiement restaient conservés au-delà des durées annoncées, que l’information était incomplète et uniquement en anglais, et que la sécurité des mots de passe était insuffisante. Des cookies Google Analytics et reCaptcha étaient déposés sans consentement préalable. Deux amendes administratives et la publicité de la décision ont été prononcées.

La société X exploite des solutions de paiement en ligne et permet la création de comptes utilisateurs associés notamment à des données d’identité, de contact, bancaires et à des justificatifs. La CNIL a procédé à un contrôle en ligne puis à un contrôle sur place portant sur l’information des personnes, la création des comptes, la conservation des données, la sécurité et les traceurs.

Les contrôles ont révélé que des comptes inactifs restaient conservés en base après l’expiration des durées annoncées, sans purge ni tri. L’information fournie par les politiques de confidentialité était incomplète, ancienne et uniquement en anglais. Des insuffisances de sécurité concernaient les mots de passe. Des cookies Google Analytics et le mécanisme reCaptcha étaient utilisés sans consentement préalable.

Après les contrôles, la société a engagé plusieurs mesures correctives. La CNIL a néanmoins retenu des manquements au RGPD et à l’article 82 de la loi Informatique et Libertés, puis prononcé deux amendes administratives et ordonné la publicité de la décision.

• Déterminer la durée nécessaire au regard de chaque finalité poursuivie.
• Supprimer ou anonymiser les données à l’expiration de la durée applicable.
• Effectuer un tri entre données à conserver et données à supprimer.
• Fournir une information complète, claire, accessible et compréhensible.
• Adapter les mesures de sécurité aux risques et aux caractéristiques du traitement.
• Recueillir le consentement avant tout accès non exempté au terminal.

• Procès-verbaux des contrôles en ligne et sur place.
• Capture d’écran recensant les comptes inactifs conservés.
• Politiques de confidentialité accessibles sur le site et l’application.
• Constats relatifs aux mots de passe stockés et à l’algorithme SHA-1.
• Constat du dépôt de cookies Google Analytics avant toute action.
• Documentation Google relative aux fonctionnalités de reCaptcha.

La société demeure responsable des manquements constatés avant sa mise en conformité, même si elle a ensuite corrigé ses pratiques. Elle supporte deux amendes administratives et la publicité temporaire de la décision.

• Supprimer ou anonymiser les données après expiration des durées.
• Séparer et sécuriser les éventuelles archives intermédiaires.
• Actualiser les politiques d’information dans une langue compréhensible.
• Renforcer les mots de passe et remplacer les mécanismes cryptographiques obsolètes.
• Recueillir le consentement avant Google Analytics ou reCaptcha non exemptés.
• Préserver les éléments démontrant l’effectivité des mesures correctives.

À faire

• Cartographier chaque finalité et durée de conservation.
• Programmer la suppression ou l’anonymisation des comptes expirés.
• Maintenir une politique de confidentialité complète et accessible.
• Tester régulièrement les règles de mots de passe et la sécurité.
• Bloquer les traceurs non essentiels avant consentement.

À éviter

• Conserver indéfiniment les comptes simplement désactivés.
• Confondre archivage intermédiaire et maintien en base active.
• Publier une information uniquement en anglais ou obsolète.
• Stocker des mots de passe en clair ou avec SHA-1.
• Utiliser Analytics ou reCaptcha sans vérifier le consentement requis.

La limitation de la durée de conservation des données personnelles

L’article 5-1-e) du RGPD impose une conservation n’excédant pas la durée nécessaire aux finalités poursuivies. Lorsque cette durée est atteinte, les données doivent être supprimées ou anonymisées, sauf archivage intermédiaire justifié et séparé. L’inactivation d’un compte ne satisfait aucune de ces exigences. La conservation de données non concernées par les articles L. 213-1, D. 213-1 et D. 213-2 du code de la consommation pendant des durées excessives caractérise le manquement.

Les exigences d’information transparente des personnes

Les articles 12 et 13 du RGPD exigent une information claire, compréhensible, accessible et complète. Une politique uniquement en anglais, renvoyant à plusieurs versions incomplètes et ne mentionnant ni la durée de conservation ni le droit de réclamation, ne permet pas aux personnes d’apprécier la portée des traitements. La mise en conformité ultérieure ne remet pas en cause le manquement constaté lors des contrôles.

Le consentement aux cookies et mécanismes de traçage

L’article 82 de la loi Informatique et Libertés impose un consentement préalable, sauf si l’accès au terminal est exclusivement nécessaire à la communication électronique ou à un service expressément demandé. Google Analytics et reCaptcha poursuivaient aussi des finalités d’analyse ou de réutilisation de données. Leur utilisation sans consentement constituait donc un manquement, dont l’éditeur du site demeure responsable malgré l’intervention du fournisseur.

Article 5-1-e) du RGPD, Article 12 du RGPD, Article 13 du RGPD, Article 32 du RGPD, Article 56 du RGPD, Article 60 du RGPD, Article 83 du RGPD, Article 20 de la loi n° 78-17 du 6 janvier 1978, Article 22 de la loi n° 78-17 du 6 janvier 1978, Article 82 de la loi n° 78-17 du 6 janvier 1978, Article 40, III, du décret n° 2019-536 du 29 mai 2019, Article L. 213-1 du code de la consommation, Article D. 213-1 du code de la consommation, Article D. 213-2 du code de la consommation, Article 561-2 du code monétaire et financier