L’essentiel
L’article 13 du RGPD exige une information complète, accessible au moment de la collecte, notamment sur l’identité et les coordonnées du délégué à la protection des données, les bases juridiques, les durées de conservation et les droits des personnes. Un formulaire de contact ou un lien inactif ne remplace pas la communication directe et exhaustive de ces informations.
L’article 17 du RGPD impose l’effacement des données dans les meilleurs délais lorsque ses conditions sont réunies. La simple désactivation d’un compte ne suffit pas lorsque les données demeurent conservées.
L’article 82 de la loi Informatique et Libertés subordonne le dépôt de cookies non nécessaires au consentement préalable. L’article L. 34-5 du CPCE impose également un consentement préalable, libre, spécifique et informé pour la prospection électronique des personnes n’ayant pas effectué d’achat ; la création d’un compte ne permet pas d’invoquer l’exception réservée aux coordonnées recueillies lors d’une vente.
Sur le fondement de l’article 20 de la loi du 6 janvier 1978 et de l’article 83 du RGPD, la CNIL prononce une amende de 500 000 euros, une injonction de mise en conformité sous astreinte et une publicité limitée dans le temps.
En résumé
- Amende administrative de 500 000 euros pour six manquements constatés
- Article 5-1-e) du RGPD : conservation limitée aux finalités poursuivies
- Constat de données conservées plus de cinq ans sans justification
- Consentement préalable requis pour cookies non nécessaires et prospection
- Injonction de purge, archivage et cessation de prospection sans consentement
Contexte de l’affaire
La société conservait notamment en base active les données de nombreuses personnes sans activité depuis plus de cinq ans. Ses informations en ligne ne mentionnaient pas de façon complète les coordonnées du délégué à la protection des données, les bases juridiques, les durées de conservation et certains droits. Les demandes d’effacement entraînaient une désactivation du compte sans suppression des données.
Des cookies soumis au consentement étaient déposés dès l’arrivée sur le site. Les personnes créant un compte sans achat recevaient ou pouvaient recevoir des sollicitations commerciales sans consentement préalable. Des corrections ont été apportées pendant la procédure, mais la mise en conformité est demeurée incomplète sur plusieurs points.
Conditions / critères (ce que le juge vérifie)
- Conserver les données uniquement pendant la durée nécessaire aux finalités
- Justifier les durées de conservation et la purge des données inactives
- Informer complètement les personnes au moment de la collecte
- Respecter effectivement les demandes d’effacement
- Recueillir le consentement avant les cookies non nécessaires
- Obtenir un consentement préalable pour prospecter les prospects non clients
- Établir une mise en conformité complète et documentée
Preuves retenues (ce qui a fait pencher la décision)
- Constat de 16 653 personnes inactives depuis plus de cinq ans
- Tableau Excel recensant plus de 130 000 comptes inactifs
- Constats des contrôles sur place et contrôles en ligne
- Données d’un client conservées après une demande d’effacement
- Procès-verbal d’huissier sur l’anonymisation et l’archivage
- Pièces relatives aux modifications du formulaire et du site
Conséquences pratiques
- Mettre en œuvre une purge périodique des données inactives
- Documenter le tri et l’archivage intermédiaire
- Publier une information complète et accessible au moment de la collecte
- Supprimer effectivement les données après demande d’effacement
- Bloquer les cookies non nécessaires avant consentement
- Cesser la prospection des prospects sans consentement préalable
Checklist pour Avocats
À faire
- Définir des durées par finalité et catégorie de données
- Programmer la purge des comptes durablement inactifs
- Documenter le tri et l’archivage intermédiaire
- Afficher les informations exigées par l’article 13 du RGPD
- Recueillir une case de consentement distincte pour la prospection
À éviter
- Conserver des données sans justification documentée
- Remplacer l’effacement par une simple désactivation du compte
- Utiliser un lien d’information inactif ou difficilement accessible
- Déposer des cookies soumis au consentement dès l’arrivée
- Prospecter un prospect sans consentement préalable
FAQ / Q-R juridiques
La limitation de la durée de conservation des données personnelles
L’article 5-1-e) du RGPD impose une conservation n’excédant pas la durée nécessaire aux finalités poursuivies. La conservation en base active de données de personnes inactives depuis plus de cinq ans, sans justification d’un contact récent ni preuve d’une purge effective, caractérise le manquement. Une politique interne ultérieure et des mesures annoncées pendant la procédure ne suffisent pas à établir la conformité passée ni la mise en conformité complète.
L’information complète des personnes lors de la collecte
L’article 13 du RGPD exige une information accessible au moment de la collecte, comprenant notamment les coordonnées du délégué à la protection des données, les bases juridiques, les durées de conservation et les droits des personnes. Un formulaire de contact ou un lien inactif ne remplace pas ces informations. La mise à disposition ultérieure d’une politique complétée n’efface pas le manquement constaté pendant les contrôles.
Le consentement préalable à la prospection électronique
L’article L. 34-5 du CPCE impose un consentement préalable, libre, spécifique et informé lorsque les coordonnées n’ont pas été recueillies à l’occasion d’une vente ou d’une prestation. La création d’un compte sans achat ne permet donc pas d’invoquer l’exception applicable aux clients. La sollicitation répétée de prospects pour obtenir leur accord peut elle-même excéder leurs attentes raisonnables.
Textes cités
RGPD & protection des données
Approfondir ce sujet :