Protection des données : consentement, transparence et sécurité sanctionnés par la CNIL

La CNIL retient plusieurs manquements au RGPD et au code des postes et des communications électroniques. Le responsable de traitement qui prospecte à partir de données acquises auprès de courtiers doit être en mesure de démontrer un consentement libre, spécifique, éclairé et univoque, conformément aux articles 4, paragraphe 11, et 7, paragraphe 1, du RGPD, ainsi qu’à l’article L. 34-5 du CPCE. La seule production de formulaires types et l’absence de contrôle effectif des courtiers ne suffisent pas.

Les articles 13 et 14 du RGPD imposent une information précise sur les bases légales, les durées de conservation et la source des données. Une mention générale relative à un organisme d’enrichissement de données ne permet pas d’identifier la source réelle. Le droit d’accès et le droit d’opposition doivent être traités de manière fiable, écrite et dans les délais prévus par l’article 12 du RGPD, en application notamment des articles 15 et 21.

Sur le fondement de l’article 32 du RGPD, la conservation de mots de passe au moyen de fonctions de hachage obsolètes ou sans salage constitue une mesure de sécurité insuffisante. La mise en conformité postérieure n’efface pas les manquements antérieurs, même si elle est prise en compte pour la sanction.

En application de l’article 20, III, de la loi du 6 janvier 1978 et de l’article 83 du RGPD, la CNIL prononce une amende de 600 000 euros. Elle tient compte de la nature et du nombre des violations, de la taille de l’organisme, de sa situation financière et des mesures correctrices adoptées. Aucune injonction n’est prononcée, mais la décision est rendue publique.

⬇️Télécharger la décision version officielle

La société utilisait des données provenant de courtiers pour sa prospection commerciale, sans pouvoir prouver individuellement les consentements ni identifier précisément les sources. L’information sur les bases légales et les durées de conservation était insuffisante. Plusieurs demandes d’accès, d’opposition et d’effacement ont été mal ou tardivement traitées. La sécurité des mots de passe était également déficiente. Une amende de 600 000 euros a été prononcée.

La société, active notamment dans la fourniture d’électricité, de gaz et de services énergétiques, traitait les données de nombreux clients et prospects. Des données provenant de courtiers étaient utilisées pour des opérations de prospection commerciale électronique.

À la suite de plaintes et de contrôles en ligne et sur pièces, la CNIL a examiné le recueil du consentement, l’information fournie aux personnes, le traitement des demandes d’exercice de droits et la sécurité des mots de passe.

La société ne pouvait pas produire de preuves individuelles du consentement recueilli par les courtiers et n’identifiait pas précisément la source des données. Sa charte ne détaillait pas suffisamment les bases légales ni les durées de conservation. Des demandes d’accès, d’opposition et d’effacement avaient également été mal traitées ou tardivement traitées. Enfin, certains mots de passe étaient conservés avec des fonctions de hachage insuffisantes ou sans salage systématique.

La société a mis en œuvre des mesures correctrices pendant la procédure. La CNIL a néanmoins prononcé une amende administrative de 600 000 euros et décidé la publication de la sanction.

• Démontrer individuellement le consentement préalable à la prospection électronique
• Informer précisément sur l’identité du prospecteur et les finalités poursuivies
• Indiquer chaque base légale et chaque durée ou critère de conservation
• Identifier précisément la source des données collectées indirectement
• Répondre par écrit, complètement et dans les délais aux demandes de droits
• Mettre en œuvre un hachage robuste avec salage aléatoire des mots de passe
• Adapter les mesures de sécurité à la nature et aux risques du traitement

• Procès-verbal du contrôle en ligne du site internet
• Réponses de la société aux questionnaires et demandes de compléments
• Formulaires types fournis par les courtiers en données
• Courriers de prospection mentionnant une source de données imprécise
• Réclamations relatives aux demandes d’accès, d’opposition et d’effacement
• Constatations sur les fonctions de hachage MD5, SHA-1 et l’absence de salage

La société supporte une amende administrative de 600 000 euros et la publication de la décision, malgré les mesures correctrices adoptées pendant la procédure. Les manquements relatifs au consentement, à l’information, aux droits des personnes et à la sécurité restent caractérisés pour la période contrôlée.

• Amende administrative de 600 000 euros
• Publication de la décision pendant deux ans sous le nom de la société
• Suppression des données issues de campagnes antérieures
• Renforcement des contrôles et audits des courtiers
• Révision des mentions d’information et des procédures de droits
• Migration vers un hachage robuste avec salage systématique

À faire

• Conserver la preuve individuelle de chaque consentement
• Identifier les courtiers et les sources précises des données
• Détailler les bases légales et durées de conservation
• Répondre par écrit aux demandes dans le délai applicable
• Hacher les mots de passe avec un algorithme robuste et salé

À éviter

• Utiliser un formulaire type comme preuve suffisante
• Présenter une source de données sous une formulation générale
• Répondre uniquement par téléphone aux demandes de droits
• Conserver des mots de passe avec MD5 ou sans salage
• Clôturer une demande sans transmission au service compétent

Le consentement préalable à la prospection commerciale électronique

L’article L. 34-5 du CPCE et les articles 4, paragraphe 11, et 7, paragraphe 1, du RGPD imposent un consentement libre, spécifique, éclairé et univoque, dont le prospecteur doit pouvoir apporter la preuve. Lorsque les données proviennent d’un courtier, il doit vérifier la collecte initiale, l’information sur son identité et les finalités, ainsi que disposer de justificatifs individuels. Des formulaires types et des engagements contractuels non contrôlés sont insuffisants.

Les obligations d’information sur les données personnelles

Les articles 13 et 14 du RGPD imposent d’indiquer les bases légales, les durées de conservation et, lorsque les données sont collectées indirectement, leur source précise. Une formulation générale sur un organisme spécialisé dans l’enrichissement de données ne garantit pas la transparence. L’absence de préjudice ou la possibilité d’obtenir ultérieurement des informations ne fait pas disparaître le manquement.

La sécurité des mots de passe au regard de l’article 32 du RGPD

L’article 32 du RGPD exige des mesures adaptées aux risques. La conservation de mots de passe avec MD5, ou sans mécanisme de salage systématique, ne garantit pas suffisamment leur confidentialité et leur intégrité. La mise en conformité intervenue pendant la procédure est prise en compte, mais elle n’efface pas les violations antérieures et n’exclut pas une amende fondée sur l’article 83 du RGPD.

Article L. 34-5 du Code des postes et des communications électroniques, Articles 4, paragraphe 11, 7, paragraphe 1, 12, 13, 14, 15, 21, 32 et 83 du RGPD, Article 20, III, de la loi n° 78-17 du 6 janvier 1978, Article 39 du décret n° 2019-536 du 29 mai 2019, Article 40, III, du décret n° 2019-536 du 29 mai 2019