L’essentiel
Les articles 12 et 13 du RGPD imposent une information concise, transparente, compréhensible et aisément accessible au moment de la collecte, incluant la durée de conservation ou les critères permettant de la déterminer. Des intitulés ambigus, des parcours nécessitant plusieurs clics et des durées formulées en termes vagues ou incomplètes ne satisfont pas ces exigences.
L’article 82 de la loi informatique et libertés impose l’information et le consentement préalables avant le dépôt de traceurs, sauf exceptions strictes. Le dépôt automatique de cookies analytiques et de traçage, non nécessaires à la communication électronique ou au service demandé, caractérise le manquement.
La mise en conformité intervenue avant la séance écarte l’injonction, mais ne fait pas disparaître les manquements antérieurs. Au regard de l’article 83 du RGPD, de la portée des traitements, du nombre de personnes concernées, de la coopération et des mesures correctrices, une amende de 800 000 euros et une publication limitée à deux ans sont jugées effectives, proportionnées et dissuasives.
En résumé
- Amende administrative de 800 000 euros et publication pendant deux ans
- Loyauté autonome et information conforme aux traitements réellement mis en œuvre
- Contrôles en ligne et sur place établissant les transmissions excédentaires
- Dépôt automatique de cinq cookies non exemptés avant consentement
- Mise en conformité ultérieure excluant l’injonction mais non la sanction
Contexte de l’affaire
La CNIL a réalisé un contrôle en ligne du site et un contrôle sur place portant sur les traitements liés à la carte. Elle a constaté que des données supplémentaires à celles annoncées étaient transmises à une autre société, que les informations relatives aux traitements étaient difficilement accessibles et incomplètes, notamment sur les durées de conservation, et que plusieurs cookies étaient déposés automatiquement avant toute action de l’utilisateur.
Au cours de la procédure, la société a refondu son parcours de souscription, son site et sa politique de cookies. La CNIL a néanmoins retenu trois manquements au RGPD et à la loi informatique et libertés, puis a prononcé une amende administrative et une mesure de publication temporaire.
Conditions / critères (ce que le juge vérifie)
- Comparer les données annoncées aux données effectivement transmises
- Identifier clairement le destinataire réel des données personnelles
- Fournir l’information au moment de la collecte
- Rendre la politique de confidentialité directement et aisément accessible
- Préciser les durées de conservation ou leurs critères de détermination
- Recueillir le consentement avant les cookies non exemptés
- Apprécier gravité, portée, coopération et mesures correctrices selon l’article 83
Preuves retenues (ce qui a fait pencher la décision)
- Constatations du contrôle en ligne du site internet
- Constatations du contrôle sur place relatif aux cartes
- Mention d’information limitant les données annoncées aux nom, prénom et email
- Documents transmis révélant adresses, téléphones et nombre d’enfants
- Constat du dépôt automatique de trente et un cookies
- Politique de confidentialité et mentions légales analysées
Conséquences pratiques
- Exclusion de l’injonction en raison de la mise en conformité
- Amende administrative de 800 000 euros
- Arrêt du dépôt automatique des cookies non exemptés
- Réécriture des informations sur destinataires et données transmises
- Précision des durées de conservation et des données collectées
- Publication de la décision sur les sites désignés
Checklist pour Avocats
À faire
- Comparer les mentions d’information aux flux réellement transmis
- Identifier clairement chaque responsable et destinataire des données
- Placer un lien de confidentialité visible au point de collecte
- Préciser les durées de conservation par catégorie de données
- Bloquer les cookies non exemptés avant le consentement
À éviter
- Promettre de ne transmettre aucune donnée supplémentaire
- Utiliser un intitulé ambigu pour la politique de confidentialité
- Renvoyer l’information uniquement depuis des mentions légales
- Employer des formules vagues sur les durées de conservation
- Déposer des traceurs analytiques ou de suivi dès l’arrivée
FAQ / Q-R juridiques
Le principe de loyauté des traitements de données personnelles
La formation restreinte reconnaît le principe de loyauté comme autonome au titre de l’article 5, paragraphe 1, a), du RGPD. L’information était trompeuse : le destinataire présenté ne permettait pas d’identifier la société tierce et la société annonçait ne transmettre que trois données alors que d’autres informations étaient communiquées.
L’accessibilité et le contenu de l’information prévue par le RGPD
Les articles 12 et 13 du RGPD imposent une information aisément accessible au moment de la collecte, ainsi que des durées de conservation précises ou des critères de détermination. Des intitulés ambigus, un accès nécessitant plusieurs actions et des mentions vagues ou incomplètes sur les données, cookies et archivages ont caractérisé les manquements.
Le consentement préalable au dépôt des cookies
L’article 82 de la loi informatique et libertés impose l’information et le consentement avant tout dépôt, sauf cookies exclusivement nécessaires à la communication électronique ou strictement nécessaires au service demandé. Cinq cookies analytiques ou de traçage ne relevaient d’aucune exception et étaient déposés automatiquement dès l’arrivée sur le site.
Textes cités
RGPD & protection des données
Approfondir ce sujet :