L’essentiel
La société a également méconnu les articles 12 et 13 du RGPD en ne rendant pas l’information aisément accessible et en ne mentionnant pas le consentement comme base légale lorsque celui-ci était requis. Les articles 15 et 12.3 ont été méconnus, une demande d’accès n’ayant pas été satisfaite dans le délai d’un mois après vérification de l’identité. L’article 21.2 a été violé en raison de dysfonctionnements empêchant la prise en compte rapide des désabonnements. Enfin, l’article 32 a été méconnu en raison de mots de passe insuffisamment robustes et de la transmission non chiffrée de copies de pièces d’identité.
Malgré la mise en conformité intervenue avant la clôture de l’instruction, la formation restreinte prononce une amende de 600 000 euros, dont 100 000 euros au titre de l’article L. 34-5 du CPCE et 500 000 euros au titre des manquements au RGPD. Elle retient la pluralité et la gravité des manquements, le nombre élevé de personnes concernées, la coopération de la société et sa situation financière. La décision est publiée pendant deux ans.
En résumé
- Amende administrative de 600 000 euros malgré la mise en conformité
- Consentement préalable requis pour la prospection de produits de tiers
- Cases pré-cochées et information inaccessible retenues comme preuves des manquements
- Désabonnements retardés par des anomalies de synchronisation des outils
- Transmission non chiffrée des pièces d’identité contraire à la sécurité attendue
Contexte de l’affaire
Plusieurs personnes ont saisi la CNIL au sujet de courriels de prospection reçus malgré leur opposition et de difficultés d’accès à leurs données personnelles. Les contrôles ont révélé des cases pré-cochées pour l’inscription à des newsletters, une information insuffisamment accessible, un retard dans la communication de données, des dysfonctionnements du désabonnement et des mesures de sécurité insuffisantes.
La société a modifié ses formulaires, renforcé les mots de passe et amélioré la gestion des droits avant la clôture de l’instruction. La CNIL a néanmoins retenu plusieurs manquements au RGPD et au Code des postes et des communications électroniques, puis prononcé une amende administrative de 600 000 euros et décidé la publication de la sanction pendant deux ans.
Conditions / critères (ce que le juge vérifie)
- Prospection portant sur des produits ou services de tiers
- Consentement libre, spécifique et informé recueilli préalablement
- Information claire, complète et aisément accessible dès la collecte
- Réponse au droit d’accès dans le délai d’un mois
- Prise en compte effective et rapide des demandes d’opposition
- Mesures de sécurité adaptées au volume et aux risques des traitements
Preuves retenues (ce qui a fait pencher la décision)
- Constat des cases de consentement pré-cochées sur les formulaires
- Contrôle en ligne des formulaires et de la charte d’information
- Réclamations relatives aux accès et désabonnements non pris en compte
- Constat des anomalies de synchronisation entre outils de gestion
- Contrôle sur place des règles de robustesse des mots de passe
- Constat de l’envoi non chiffré de copies de pièces d’identité
Conséquences pratiques
- Amende de 100 000 euros au titre de l’article L. 34-5 du CPCE
- Amende de 500 000 euros au titre des manquements au RGPD
- Publication de la sanction pendant deux ans
- Suppression des cases de consentement pré-cochées
- Renforcement des mots de passe et du chiffrement des transmissions
- Amélioration du traitement des demandes d’accès et d’opposition
Checklist pour Avocats
À faire
- Recueillir un consentement préalable, libre et spécifique
- Supprimer toutes les cases de consentement pré-cochées
- Rendre la politique de confidentialité immédiatement accessible
- Répondre aux demandes d’accès dans le délai d’un mois
- Chiffrer les pièces d’identité transmises par voie électronique
À éviter
- Prospecter pour des produits de partenaires sans consentement
- Fonder la prospection concernée sur l’intérêt légitime uniquement
- Placer l’information obligatoire uniquement en bas d’une page
- Laisser persister des anomalies entre les outils de désabonnement
- Autoriser des mots de passe courts et peu complexes
FAQ / Q-R juridiques
Le consentement préalable à la prospection commerciale
nL’article L. 34-5 du Code des postes et des communications électroniques impose un consentement libre, spécifique et informé lorsque les courriels promeuvent des produits ou services de tiers. L’exception liée à une vente ou prestation antérieure suppose des produits ou services analogues fournis par la même personne. Une case pré-cochée ne constitue pas un consentement valable.n
Les obligations d’information et d’exercice des droits
nLes articles 12 et 13 du RGPD exigent une information claire, complète et aisément accessible dès la collecte. Les articles 15 et 12.3 imposent de répondre à une demande d’accès dans un délai d’un mois après vérification de l’identité. L’article 21.2 garantit l’opposition à la prospection et impose sa prise en compte effective.n
Les mesures de sécurité adaptées aux risques
nL’article 32 du RGPD impose des mesures techniques et organisationnelles adaptées. La formation restreinte a retenu l’insuffisante robustesse des mots de passe donnant accès à un outil contenant de nombreuses données et la transmission non chiffrée de copies de pièces d’identité par courriel, génératrice d’un risque important pour leur confidentialité.
Textes cités
RGPD & protection des données
Approfondir ce sujet :