Protection des données : conservation excessive, données de santé et cookies sans consentement

La formation restreinte retient un manquement à l’article 5, paragraphe 1, e), du RGPD : les réponses aux tests et les adresses IP ont été conservées au-delà de la réalisation du test, puis pendant trois mois malgré une pseudonymisation insuffisante. La conservation de l’identifiant unique et d’un pseudonyme après trois ans d’inactivité ne constituait pas davantage une anonymisation effective. Le responsable de traitement demeure responsable du contrôle des mesures mises en œuvre par son sous-traitant.

Le traitement de réponses à des questionnaires révélant des informations relatives à la santé relève de l’article 9 du RGPD et nécessite une condition dérogatoire prévue par l’article 9, paragraphe 2, notamment le consentement lorsqu’il est applicable. La simple information des utilisateurs ne suffit pas à établir ce consentement.

Au titre de l’article 82 de la loi Informatique et Libertés, les cookies publicitaires ne peuvent être déposés ou lus avant le consentement. Le mécanisme de refus doit être effectif : le maintien ou le dépôt de traceurs après un refus caractérise le manquement, y compris lorsque les opérations sont réalisées par des partenaires commerciaux. La mise en conformité postérieure ne supprime pas la responsabilité pour les faits passés.

La formation restreinte prononce deux amendes administratives, en application de l’article 20 de la loi du 6 janvier 1978 et de l’article 83 du RGPD, en tenant compte notamment de la gravité, de la durée, de l’ampleur des traitements et du nombre de personnes concernées.

⬇️Télécharger la décision version officielle

La société traitait des réponses à des questionnaires, des adresses IP et des données liées à des comptes inactifs, sans respecter les exigences de conservation et d’anonymisation. Des questionnaires pouvaient révéler des données de santé sans consentement requis. Des cookies publicitaires étaient déposés avant consentement et après refus. Malgré des corrections, la CNIL a prononcé deux amendes et une mesure de publicité.

Une société éditait un site consacré à la santé et au bien-être, proposant notamment des articles, tests, quiz et forums. Elle traitait les réponses aux questionnaires ainsi que les adresses IP des utilisateurs, inscrits ou non, et conservait certaines données pendant vingt-quatre mois. Une procédure ultérieure de hachage et de conservation pendant trois mois a été considérée comme une pseudonymisation, non comme une anonymisation.

Les comptes inactifs depuis plus de trois ans conservaient un identifiant unique et un pseudonyme permettant de relier des publications à un utilisateur. Le site proposait aussi des questionnaires susceptibles de révéler des données de santé sans recueillir le consentement requis. Des cookies publicitaires étaient déposés avant consentement et demeuraient présents, voire étaient redéposés, après le refus de l’utilisateur.

Après plusieurs contrôles, la société a modifié ses pratiques, notamment en supprimant la collecte des adresses IP et les dépôts de cookies non techniques avant consentement. La CNIL a néanmoins retenu les manquements passés et prononcé deux amendes administratives ainsi qu’une mesure de publicité.

• Relier la durée de conservation à la finalité effectivement poursuivie.
• Supprimer ou anonymiser les données lorsque la finalité est atteinte.
• Garantir une anonymisation irréversible, sans possibilité raisonnable de réidentification.
• Contrôler effectivement les mesures techniques et organisationnelles du sous-traitant.
• Recueillir une condition valide de l’article 9, paragraphe 2, pour les données de santé.
• Bloquer les cookies publicitaires avant consentement et après refus.
• Surveiller les traceurs déposés par les partenaires commerciaux.

• Procès-verbaux des contrôles en ligne, sur place et sur pièces.
• Fichier associant réponses aux tests et adresses IP.
• Tableaux de bord du sous-traitant contenant réponses et adresses IP pseudonymisées.
• Constat du hachage SHA256 sans clé de hachage.
• Constat du maintien et du redépôt de cookies après refus.
• Procès-verbal établissant la mise en conformité ultérieure.

Le responsable de traitement reste exposé aux sanctions pour les manquements antérieurs, même après correction des dispositifs. Le sous-traitant et les partenaires commerciaux doivent être contrôlés par des mesures effectives, et non par de simples engagements contractuels.

• Exposition à deux amendes administratives distinctes.
• Responsabilité maintenue pour les traitements historiques.
• Suppression des données devenues inutiles après la finalité.
• Remplacement des pseudonymisations réversibles par une anonymisation effective.
• Blocage des cookies non techniques avant consentement.
• Contrôle continu des traceurs déposés par les partenaires.

À faire

• Définir une durée de conservation pour chaque finalité.
• Supprimer les réponses dès que leur finalité est atteinte.
• Tester la résistance des procédés d’anonymisation à la réidentification.
• Recueillir le consentement explicite pour les données de santé.
• Vérifier le blocage des cookies avant et après refus.

À éviter

• Conserver les réponses après l’affichage du résultat.
• Assimiler un hachage SHA256 sans clé à une anonymisation.
• Maintenir un identifiant unique dans les comptes inactifs.
• Déposer des cookies publicitaires avant toute action de l’utilisateur.
• Se limiter à des engagements contractuels sans contrôle du sous-traitant.

La limitation de la durée de conservation des données personnelles

La conservation doit respecter l’article 5, paragraphe 1, e), du RGPD et ne pas excéder la durée nécessaire aux finalités poursuivies. Les réponses aux tests et les adresses IP n’étaient plus nécessaires après l’affichage du résultat ni pour les statistiques agrégées. Le hachage SHA256 sans clé ne constituait pas une anonymisation, et la conservation pendant trois mois restait excessive.

Le traitement des données concernant la santé

Les réponses à des questionnaires portant sur la santé pouvaient révéler des données concernant la santé au sens de l’article 4, point 15, du RGPD. Leur traitement relève de l’interdiction de principe de l’article 9 et doit satisfaire une condition de l’article 9, paragraphe 2. La seule présence d’un lien vers une politique de confidentialité ne suffisait pas à recueillir le consentement des utilisateurs.

Le consentement aux cookies publicitaires

L’article 82 de la loi Informatique et Libertés interdit le dépôt ou la lecture de cookies publicitaires avant le consentement. Le refus doit être effectivement pris en compte : le maintien ou le dépôt de nouveaux traceurs après le choix « Refuser tout » caractérise le manquement. L’éditeur doit également contrôler les traceurs déposés par ses partenaires commerciaux.

Article 5, paragraphe 1, e), du RGPD, Article 9 du RGPD, Article 9, paragraphe 2, du RGPD, Article 4, point 15, du RGPD, Article 26 du RGPD, Article 32 du RGPD, Article 56 du RGPD, Article 60, paragraphes 3 et 6, du RGPD, Article 83 du RGPD, Article 89, paragraphe 1, du RGPD, Article 20 de la loi n° 78-17 du 6 janvier 1978, Article 22 de la loi n° 78-17 du 6 janvier 1978, Article 82 de la loi n° 78-17 du 6 janvier 1978, Article 40, III, du décret n° 2019-536 du 29 mai 2019