L’essentiel
L’article 12 du RGPD impose de faciliter l’exercice des droits et de répondre dans le délai prévu. La demande systématique d’un justificatif d’identité, sans doute raisonnable, ainsi que des retards pouvant atteindre plusieurs mois caractérisaient un manquement. L’article 33 imposait également la notification de la violation de données, compte tenu de l’attaque, du nombre de comptes concernés et des risques de réutilisation des identifiants ou d’hameçonnage.
Enfin, l’article 82 de la loi du 6 janvier 1978 exigeait le consentement préalable au dépôt des cookies Google Analytics, qui n’étaient ni exclusivement nécessaires à la communication électronique ni strictement nécessaires au service. La mise en conformité intervenue pendant la procédure a exclu l’injonction, mais non l’amende administrative, appréciée au regard de l’article 83 du RGPD et du III de l’article 20 de la loi du 6 janvier 1978.
En résumé
- Amende administrative malgré la mise en conformité intervenue pendant la procédure
- Durée de conservation de quatre ans jugée excessive pour les clients inactifs
- Demandes systématiques de justificatifs contraires à l’article 12 du RGPD
- Retards récurrents dans le traitement des droits des personnes
- Cookies Google Analytics déposés avant consentement préalable
- Attaque informatique non notifiée malgré un risque sérieux pour les personnes
Contexte de l’affaire
Les contrôles ont révélé le maintien de données de clients inactifs pendant plus de quatre ans, la conservation prolongée de pièces d’identité, des demandes systématiques de justificatifs, des retards importants dans le traitement des droits, une information jugée difficilement accessible, une vulnérabilité de sécurité, une violation non notifiée et le dépôt automatique de cookies avant consentement.
La société a engagé, pendant la procédure, une restructuration de ses processus, supprimé certaines données, amélioré le traitement des demandes, renforcé l’authentification, notifié la violation et modifié son mécanisme de consentement aux cookies. La formation restreinte a néanmoins retenu les manquements et prononcé une amende administrative, sans injonction de mise en conformité.
Conditions / critères (ce que le juge vérifie)
- Vérifier que la durée de conservation reste nécessaire à la finalité poursuivie
- Supprimer les pièces d’identité dès que la demande est satisfaite
- Limiter les justificatifs d’identité aux situations de doute raisonnable
- Répondre aux demandes d’exercice des droits dans les délais applicables
- Notifier toute violation susceptible d’engendrer un risque pour les personnes
- Recueillir le consentement avant les cookies non strictement nécessaires
- Tenir compte de la gravité, de l’ampleur et de la durée des manquements
Preuves retenues (ce qui a fait pencher la décision)
- Constatations des contrôles sur les bases de données et le programme fidélité
- Présence de données de clients inactifs depuis cinq à dix ans
- Copies de pièces d’identité conservées pendant un à six ans
- Courriers exigeant systématiquement un justificatif d’identité
- Relevés des délais de réponse atteignant plusieurs mois
- Contrôle en ligne constatant le dépôt automatique de trente-neuf cookies
Conséquences pratiques
- Supprimer les données de clients inactifs au-delà de la durée justifiée
- Effacer les pièces d’identité après traitement des demandes
- Réserver les justificatifs aux doutes raisonnables sur l’identité
- Garantir le suivi et le respect des délais de réponse
- Notifier rapidement les violations présentant un risque
- Bloquer les cookies non nécessaires avant consentement
Checklist pour Avocats
À faire
- Documenter chaque durée de conservation par finalité
- Automatiser la purge des données devenues inutiles
- Contrôler l’identité uniquement en cas de doute raisonnable
- Tracer les demandes et respecter le délai d’un mois
- Évaluer et notifier rapidement les violations de données
À éviter
- Conserver quatre ans les données de clients inactifs
- Archiver durablement les copies de pièces d’identité
- Demander systématiquement un justificatif aux requérants
- Laisser les demandes sans réponse ou sans information
- Déposer des cookies analytiques avant consentement
FAQ / Q-R juridiques
La durée nécessaire de conservation des données personnelles
L’article 5, paragraphe 1, e), du RGPD impose une conservation n’excédant pas celle nécessaire aux finalités poursuivies. Une durée de quatre ans pour les clients inactifs a été jugée excessive, tandis qu’une durée de trois ans pouvait être proportionnée. Les pièces d’identité devaient être supprimées dès que la demande était satisfaite ; seul le courrier de réponse pouvait être conservé pour un archivage intermédiaire à des fins contentieuses.
Les modalités d’exercice des droits prévus par le RGPD
L’article 12 du RGPD interdit de demander systématiquement un justificatif d’identité : celui-ci ne peut être sollicité qu’en présence de doutes raisonnables sur l’identité. Le même article impose une réponse dans un délai d’un mois, prorogeable de deux mois sous conditions et avec information de la personne. Des retards récurrents et non expliqués caractérisent un manquement.
Le consentement préalable au dépôt des cookies
L’article 82 de la loi du 6 janvier 1978 impose l’information et le consentement avant tout dépôt de traceur, sauf s’il est exclusivement nécessaire à la communication électronique ou au service demandé. Les cookies Google Analytics poursuivant des finalités de mesure et de personnalisation publicitaire ne relevaient pas de ces exceptions et ne pouvaient être déposés automatiquement.
Textes cités
RGPD & protection des données
Approfondir ce sujet :