Protection des données : conservation, information, sécurité et AIPD sanctionnées par la CNIL

La CNIL a retenu cinq manquements au RGPD : conservation excessive des comptes inactifs, information insuffisante sur les durées de conservation, protection des données par défaut, sécurité insuffisante des mots de passe et absence d’analyse d’impact. Ces manquements relèvent notamment des articles 5, paragraphe 1, e), 13, paragraphe 2, a), 25, paragraphe 2, 32 et 35 du RGPD.

La conservation indéfinie de comptes gratuits et totalement inactifs méconnaît le principe de limitation de la conservation, même en présence d’une relation contractuelle persistante. L’article 13, paragraphe 2, a), impose une information précise sur la durée de conservation ; les critères ne peuvent être utilisés que lorsqu’une durée précise ne peut être fournie.

La formation restreinte a également considéré que le volume de données traité et l’utilisation du service par des enfants imposaient une analyse d’impact préalable au titre de l’article 35 du RGPD. La réalisation ultérieure d’analyses concluant à l’absence de risque élevé ne régularise pas l’absence d’analyse préalable.

Une amende administrative de 800 000 euros a été prononcée sur le fondement de l’article 83 du RGPD et de l’article 20, III, de la loi du 6 janvier 1978. La publicité de la sanction a été justifiée par le nombre de personnes concernées, le nombre de manquements et leur gravité, malgré les mesures correctrices adoptées en cours de procédure.

⬇️Télécharger la décision version officielle

Une plateforme étrangère traitait les données d’utilisateurs français, dont des mineurs, tout en conservant de nombreux comptes inactifs sans politique suffisamment précise. L’application restait active après fermeture et acceptait des mots de passe de six caractères. La société n’avait pas réalisé d’analyse d’impact malgré le traitement à grande échelle de données et l’utilisation du service par des enfants. Une amende de 800 000 euros a été prononcée.

Une société étrangère exploitant une plateforme de communication et de réseau social traitait les données d’utilisateurs français, dont des mineurs, sans disposer d’établissement dans l’Union européenne mais avec un représentant désigné au titre de l’article 27 du RGPD. La CNIL a contrôlé le site et l’application, puis a recueilli les observations de la société dans le cadre d’une procédure contradictoire.

Le contrôle a révélé l’absence de politique écrite de conservation et le maintien de nombreux comptes inactifs pendant plusieurs années. La politique de confidentialité ne précisait pas suffisamment les durées de conservation. L’application restait active après fermeture de sa fenêtre principale et les mots de passe de six caractères étaient admis. La société n’avait pas réalisé d’analyse d’impact préalable malgré le traitement à grande échelle de données et l’utilisation du service par des enfants.

La société a adopté en cours de procédure une politique de conservation, renforcé les exigences relatives aux mots de passe et réalisé deux analyses d’impact. La CNIL a néanmoins prononcé une amende de 800 000 euros et ordonné la publication de la décision.

• Traitement de données de personnes situées dans l’Union européenne
• Conservation des données limitée à la durée nécessaire aux finalités
• Information précise sur les durées ou critères de conservation
• Mesures techniques et organisationnelles adaptées au risque
• Traitement à grande échelle de données personnelles
• Utilisation du service par des personnes vulnérables, notamment des enfants
• Analyse d’impact réalisée avant le traitement susceptible d’engendrer un risque élevé

• Procès-verbal de constatations en ligne du 17 novembre 2020
• Registre des activités de traitements sans durée de conservation
• Données établissant l’inactivité prolongée de millions de comptes français
• Politique de confidentialité formulée en termes généraux
• Constat de mots de passe de six caractères acceptés
• Éléments transmis sur le volume d’utilisateurs et l’âge des utilisateurs

La société reste sanctionnée malgré les mesures correctrices adoptées pendant la procédure. Les utilisateurs bénéficient d’une limitation de conservation et d’une information améliorées, tandis que la décision est rendue publique avec une anonymisation différée de la société après deux ans.n

• Suppression des comptes après deux ans d’inactivité
• Précision des durées de conservation dans l’information fournie
• Renforcement de la longueur et de la complexité des mots de passe
• Réalisation des AIPD avant les traitements concernés
• Prise en compte de la publicité et de l’amende dans le risque réglementaire

À faire

• Formaliser les durées de conservation par finalité
• Supprimer les comptes après la période d’inactivité définie
• Informer précisément les utilisateurs des durées applicables
• Imposer des mots de passe robustes et des protections complémentaires
• Réaliser l’AIPD avant tout traitement à risque élevé

À éviter

• Conserver indéfiniment les comptes inactifs
• Utiliser une formule générale sur la durée de conservation
• Admettre des mots de passe insuffisamment complexes
• Réaliser l’AIPD seulement après le lancement du traitement
• Confondre mise en conformité ultérieure et absence de manquement

La limitation de la durée de conservation des données

nL’article 5, paragraphe 1, e), du RGPD impose une conservation n’excédant pas la durée nécessaire aux finalités poursuivies. La conservation indéfinie de comptes gratuits totalement inactifs méconnaît cette obligation, même si l’utilisateur ne s’est pas désinscrit et si une relation contractuelle est invoquée. La possibilité de recréer ultérieurement un compte exclut la justification d’une conservation illimitée. La société s’est mise en conformité en prévoyant la suppression des comptes après deux ans d’inactivité.n

L’information relative aux durées de conservation

nL’article 13, paragraphe 2, a), du RGPD exige la communication de la durée de conservation ou, lorsque cette durée ne peut être précisée, des critères permettant de la déterminer. Une formule générale renvoyant au temps nécessaire aux finalités du traitement ne suffit pas lorsque des durées précises peuvent être établies. La formation restreinte a donc retenu un manquement, tout en constatant la mise en conformité ultérieure.n

L’analyse d’impact préalable des traitements à risque élevé

nL’article 35 du RGPD impose une analyse d’impact avant le traitement lorsqu’un risque élevé est susceptible d’affecter les droits et libertés. La formation restreinte a retenu la combinaison d’un traitement à grande échelle et de données concernant des enfants vulnérables. La réalisation ultérieure de deux analyses concluant à l’absence de risque élevé ne dispensait pas de l’analyse préalable, nécessaire pour évaluer ce risque.

Article 3, paragraphe 2, a), du règlement (UE) 2016/679, Article 5, paragraphe 1, e), du règlement (UE) 2016/679, Article 8 du règlement (UE) 2016/679, Article 12, paragraphe 1, du règlement (UE) 2016/679, Article 13, paragraphe 2, a), du règlement (UE) 2016/679, Article 21, paragraphe 1, du règlement (UE) 2016/679, Article 25, paragraphe 2, du règlement (UE) 2016/679, Article 27 du règlement (UE) 2016/679, Article 32 du règlement (UE) 2016/679, Article 35, paragraphe 1, du règlement (UE) 2016/679, Article 55, paragraphe 1, du règlement (UE) 2016/679, Article 56, paragraphe 1, du règlement (UE) 2016/679, Article 83 du règlement (UE) 2016/679, Article 16 de la loi n° 78-17 du 6 janvier 1978, Article 20, III, de la loi n° 78-17 du 6 janvier 1978, Article 45 de la loi n° 78-17 du 6 janvier 1978