L’essentiel
La formation restreinte retient plusieurs manquements. Le traitement ne repose sur aucune base juridique au sens de l’article 6 du RGPD : le consentement n’a pas été recueilli et l’intérêt légitime ne prévaut pas sur l’atteinte disproportionnée à la vie privée. La société a également méconnu les articles 12 et 15 en répondant tardivement et partiellement aux demandes d’accès, ainsi que l’article 17 en ne donnant pas suite aux demandes d’effacement alors que le traitement était illicite. L’absence de coopération avec la CNIL constitue enfin une violation de l’article 31.
Compte tenu du volume du traitement, de la nature biométrique des données, de la gravité des violations et du défaut de coopération, une amende administrative de 20 millions d’euros a été prononcée sur le fondement de l’article 83 du RGPD et de l’article 20 de la loi du 6 janvier 1978. Une injonction de mise en conformité, assortie d’une astreinte de 100 000 euros par jour, a également été ordonnée.
En résumé
- Amende administrative de 20 millions d’euros pour violations multiples du RGPD
- Applicabilité territoriale fondée sur le suivi comportemental des personnes dans l’Union
- Absence de base juridique pour la collecte massive et la reconnaissance faciale
- Réponses d’accès tardives, partielles et insuffisamment facilitées
- Absence de réponse aux demandes d’effacement et aux sollicitations de la CNIL
- Injonction de suppression assortie d’une astreinte de 100 000 euros par jour
Contexte de l’affaire
Le service commercialisé compilait les images, leurs URL et certaines métadonnées afin de constituer un profil comportemental des personnes concernées. Des réclamations ont été adressées à la CNIL concernant l’exercice des droits d’accès et d’effacement.
Après un contrôle, une mise en demeure et plusieurs relances restées sans réponse satisfaisante, la CNIL a retenu l’absence de base juridique, des manquements aux droits d’accès et d’effacement, ainsi qu’un défaut de coopération. La formation restreinte a prononcé une amende, une injonction de suppression et de mise en conformité sous astreinte, ainsi que la publicité de la décision.
Conditions / critères (ce que le juge vérifie)
- Traitement de données concernant des personnes situées dans l’Union européenne
- Création de profils comportementaux à partir d’images, URL et métadonnées
- Suivi sur Internet au sens de l’article 3, paragraphe 2, b), du RGPD
- Absence de consentement ou d’autre base juridique prévue par l’article 6
- Atteinte disproportionnée à la vie privée au regard de l’intérêt commercial
- Défaut de réponse effective aux droits d’accès et d’effacement
- Absence de coopération avec l’autorité de contrôle
Preuves retenues (ce qui a fait pencher la décision)
- Politique de confidentialité décrivant la collecte d’images et de données dérivées
- Informations issues de la coopération entre autorités européennes
- Réclamations relatives aux droits d’accès et d’effacement
- Questionnaire de contrôle et réponses très partielles de la société
- Absence de réponse à la mise en demeure et aux relances de la CNIL
Conséquences pratiques
- Exclusion de l’intérêt légitime comme fondement du traitement
- Suppression des données des personnes concernées après traitement des demandes d’accès
- Mise en conformité dans le délai fixé par l’injonction
- Risque d’astreinte de 100 000 euros par jour de retard
- Renforcement de la traçabilité des réponses adressées à la CNIL
- Publicité de la sanction pendant la période prévue
Checklist pour Avocats
À faire
- Identifier précisément chaque finalité et catégorie de données traitées
- Documenter la base juridique applicable avant toute collecte
- Répondre complètement et rapidement aux demandes d’accès
- Traiter sans délai les demandes d’effacement fondées
- Conserver les preuves des réponses et coopérations avec la CNIL
À éviter
- Réutiliser des images publiques sans analyse juridique préalable
- Présumer qu’une publication en ligne vaut consentement au profilage
- Limiter arbitrairement la période ou la fréquence d’accès
- Exiger des justificatifs d’identité déjà inutiles ou disproportionnés
- Ignorer une mise en demeure ou les relances de la CNIL
FAQ / Q-R juridiques
L’applicabilité territoriale du RGPD aux traitements liés au suivi comportemental
Le traitement relève de l’article 3, paragraphe 2, b), du RGPD lorsqu’il concerne des personnes situées dans l’Union et est lié au suivi de leur comportement. La collecte d’images, leur association à des URL et métadonnées, puis la création de profils par reconnaissance faciale caractérisent un suivi sur Internet, même si la finalité affichée n’est pas exclusivement comportementale.
La base juridique des traitements de reconnaissance faciale
L’article 6 du RGPD exige une base juridique. Le consentement n’a pas été recueilli et les fondements des articles 6.1, b) à e), sont inapplicables. L’intérêt légitime de l’article 6.1, f), est écarté : les personnes ne pouvaient raisonnablement s’attendre à la réutilisation de leurs images pour créer et commercialiser des profils de reconnaissance faciale, l’atteinte à leur vie privée étant disproportionnée.
Les obligations relatives aux droits d’accès et d’effacement
Les articles 12, 15 et 17 du RGPD imposent de faciliter l’accès, de fournir l’ensemble des informations requises et d’effacer les données traitées illicitement. Une réponse partielle, tardive et subordonnée à des exigences d’identification excessives méconnaît ces obligations. Lorsque le traitement ne repose sur aucune base juridique valide, l’effacement demandé est de droit.
Textes cités
RGPD & protection des données
Approfondir ce sujet :