Consentement éclairé et sécurité des données : les manquements sanctionnés par la CNIL

La formation restreinte retient plusieurs manquements au RGPD et à l’article L. 34-5 du CPCE. Pour la prospection électronique réalisée à partir de données collectées par des partenaires, le prospecteur doit disposer d’un consentement libre, spécifique, éclairé et univoque, conformément aux articles 4, paragraphe 11, et 7, paragraphe 1, du RGPD. Il doit pouvoir en rapporter la preuve et être identifié au moment du recueil. Le recours à un sous-traitant ne transfère pas cette responsabilité.

L’article 13 du RGPD impose une information suffisamment précise sur les durées de conservation. L’article 14 impose, lorsque les données ne sont pas collectées directement, une information au plus tard lors de la première communication. L’article 32 exige des mesures de sécurité adaptées aux risques et à l’état de l’art : l’utilisation de l’algorithme MD4 pour les mots de passe a été jugée insuffisante. En application de l’article 33, une violation susceptible d’engendrer un risque pour les droits et libertés doit être notifiée à la CNIL dans les meilleurs délais et, si possible, sous 72 heures.

La procédure contradictoire a été considérée comme régulière, notamment au regard de l’article 40 du décret n° 2019-536. La formation restreinte a prononcé une amende administrative de 600 000 euros en tenant compte des critères de l’article 83 du RGPD, de la gravité et du caractère structurel de certains manquements, du volume de données traité, de la situation financière de la société et des mesures correctrices ultérieures. La décision est publiée pendant deux ans sous réserve de l’anonymisation ultérieure de la société.

⬇️Télécharger la décision version officielle

Une société de prospection électronique et téléphonique ne démontrait pas la validité des consentements et n’identifiait pas clairement le prospecteur. Les informations sur les durées de conservation étaient insuffisantes et certains appels incomplets. La CNIL a également relevé l’utilisation de l’algorithme MD4 pour les mots de passe et une violation non notifiée, puis prononcé une amende de 600 000 euros.

Une société réalisait des opérations de prospection commerciale électronique et téléphonique, directement ou par l’intermédiaire de prestataires, à partir de données collectées par des partenaires. La CNIL a reçu plusieurs plaintes puis a contrôlé les traitements, les formulaires de collecte, les appels enregistrés, la gestion des droits et les mesures de sécurité.

L’instruction a notamment révélé l’absence de preuve d’un consentement valablement recueilli et l’absence d’identification claire du prospecteur dans les formulaires. Les informations communiquées sur les durées de conservation étaient trop générales. Des appels téléphoniques ne comportaient pas toutes les informations requises.

La CNIL a également constaté le stockage de mots de passe de collaborateurs au moyen de l’algorithme MD4, ainsi qu’une violation ayant rendu accessibles à certains abonnés les données d’autres abonnés. La société n’avait pas notifié cette violation à la CNIL. Une amende administrative de 600 000 euros a été prononcée et la décision rendue publique.

• Consentement libre, spécifique, éclairé et univoque
• Identification claire du prospecteur lors du recueil du consentement
• Preuve conservée du consentement des personnes prospectées
• Information précise sur les durées de conservation
• Mesures de sécurité adaptées aux risques et à l’état de l’art
• Notification d’une violation présentant un risque pour les personnes
• Appréciation de la gravité, du volume traité et des mesures correctrices

• Formulaires de collecte sans liste identifiable des partenaires prospecteurs
• Échantillon de 70 enregistrements d’appels téléphoniques
• Politique de confidentialité mentionnant des durées génériques
• Constat du stockage des mots de passe avec l’algorithme MD4
• Signalements d’abonnés ayant accédé aux données de tiers

La société reste responsable des opérations de prospection réalisées par ses prestataires et doit pouvoir documenter le consentement, l’information, la sécurité et la gestion des violations. Les prospects et abonnés concernés peuvent exercer leurs droits, tandis que la société supporte une sanction financière et une mesure de publicité.

• Exclusion des consentements non rattachés à un prospecteur identifié
• Contrôle des formulaires et des listes de partenaires
• Remplacement des algorithmes de hachage obsolètes
• Notification rapide des violations présentant un risque
• Prise en compte de la publicité de la sanction pendant deux ans

À faire

• Identifier chaque prospecteur dans le parcours de consentement
• Conserver les preuves datées et exploitables du consentement
• Auditer les scripts et enregistrements des appels
• Définir précisément les durées de conservation applicables
• Tester les procédures de détection et notification des violations

À éviter

• Utiliser une formule générale visant des partenaires indéterminés
• Confier la conformité du consentement au seul prestataire
• Conserver des mots de passe avec MD4
• Se limiter à une information orale incomplète
• Retarder l’analyse d’un accès non autorisé aux données

Le consentement éclairé à la prospection électronique

L’organisme qui prospecte doit disposer d’un consentement libre, spécifique, éclairé et univoque, conformément aux articles L. 34-5 du CPCE, 4, paragraphe 11, et 7, paragraphe 1, du RGPD. Lorsque la collecte est réalisée par un partenaire, le prospecteur doit être clairement identifié, notamment dans une liste exhaustive accessible au moment du recueil, et doit pouvoir prouver le consentement. Le recours à un sous-traitant ne supprime pas cette responsabilité.

La sécurité des mots de passe au regard de l’article 32

L’article 32 du RGPD impose des mesures adaptées aux caractéristiques du traitement, aux risques, à l’état des connaissances et au coût des mesures. La conservation des mots de passe au moyen de MD4, algorithme obsolète et vulnérable, ne garantit pas leur confidentialité. Des mesures périphériques, telles que la surveillance du réseau ou la limitation des comptes administrateurs, ne compensent pas cette faiblesse intrinsèque.

La notification des violations de données personnelles

Selon les articles 4, paragraphe 12, et 33 du RGPD, une violation entraînant un risque pour les droits et libertés doit être notifiée à l’autorité de contrôle dans les meilleurs délais et, si possible, sous 72 heures. L’accès non autorisé aux données de nombreux abonnés, incluant adresses et numéros de téléphone, caractérisait un risque suffisant, malgré la durée limitée de l’incident et l’absence d’intention malveillante établie.

Règlement (UE) 2016/679 (RGPD), article 4, paragraphe 11, Règlement (UE) 2016/679 (RGPD), article 4, paragraphe 12, Règlement (UE) 2016/679 (RGPD), articles 7, paragraphe 1, 12, 13, 14, 15, 28, 32 et 33, Article L. 34-5 du Code des postes et des communications électroniques, Article 20 de la loi n° 78-17 du 6 janvier 1978, Article 22 de la loi n° 78-17 du 6 janvier 1978, Article 40 du décret n° 2019-536 du 29 mai 2019, Article 83 du RGPD