Protection des données : conservation, exercice des droits et consentement aux cookies

La formation restreinte retient plusieurs manquements au RGPD et à l’article 82 de la loi Informatique et Libertés. La conservation pendant quatre ans des données de clients inactifs, ainsi que le maintien de pièces d’identité après traitement des demandes, méconnaissaient le principe de conservation limitée prévu à l’article 5, paragraphe 1, e), du RGPD. Une durée de trois ans a été jugée proportionnée pour les clients inactifs, tandis que les pièces d’identité devaient être supprimées dès la demande satisfaite.

L’article 12 du RGPD impose de faciliter l’exercice des droits et de répondre dans le délai prévu. La demande systématique d’un justificatif d’identité, sans doute raisonnable, ainsi que des retards pouvant atteindre plusieurs mois caractérisaient un manquement. L’article 33 imposait également la notification de la violation de données, compte tenu de l’attaque, du nombre de comptes concernés et des risques de réutilisation des identifiants ou d’hameçonnage.

Enfin, l’article 82 de la loi du 6 janvier 1978 exigeait le consentement préalable au dépôt des cookies Google Analytics, qui n’étaient ni exclusivement nécessaires à la communication électronique ni strictement nécessaires au service. La mise en conformité intervenue pendant la procédure a exclu l’injonction, mais non l’amende administrative, appréciée au regard de l’article 83 du RGPD et du III de l’article 20 de la loi du 6 janvier 1978.

⬇️Télécharger la décision version officielle

Les contrôles ont révélé la conservation excessive de données de clients inactifs et de pièces d’identité, des demandes systématiques de justificatifs, des retards dans l’exercice des droits, une information difficilement accessible, une vulnérabilité de sécurité, une violation non notifiée et le dépôt automatique de cookies. Les améliorations engagées en cours de procédure n’ont pas écarté les manquements.

Une société exploitant un site de commerce en ligne et un programme de fidélité traitait les données de plusieurs millions de clients et utilisateurs. Des plaintes ont conduit la CNIL à diligenter cinq contrôles portant notamment sur la conservation des données, l’exercice des droits, la sécurité, les violations de données et les cookies.

Les contrôles ont révélé le maintien de données de clients inactifs pendant plus de quatre ans, la conservation prolongée de pièces d’identité, des demandes systématiques de justificatifs, des retards importants dans le traitement des droits, une information jugée difficilement accessible, une vulnérabilité de sécurité, une violation non notifiée et le dépôt automatique de cookies avant consentement.

La société a engagé, pendant la procédure, une restructuration de ses processus, supprimé certaines données, amélioré le traitement des demandes, renforcé l’authentification, notifié la violation et modifié son mécanisme de consentement aux cookies. La formation restreinte a néanmoins retenu les manquements et prononcé une amende administrative, sans injonction de mise en conformité.

• Vérifier que la durée de conservation reste nécessaire à la finalité poursuivie
• Supprimer les pièces d’identité dès que la demande est satisfaite
• Limiter les justificatifs d’identité aux situations de doute raisonnable
• Répondre aux demandes d’exercice des droits dans les délais applicables
• Notifier toute violation susceptible d’engendrer un risque pour les personnes
• Recueillir le consentement avant les cookies non strictement nécessaires
• Tenir compte de la gravité, de l’ampleur et de la durée des manquements

• Constatations des contrôles sur les bases de données et le programme fidélité
• Présence de données de clients inactifs depuis cinq à dix ans
• Copies de pièces d’identité conservées pendant un à six ans
• Courriers exigeant systématiquement un justificatif d’identité
• Relevés des délais de réponse atteignant plusieurs mois
• Contrôle en ligne constatant le dépôt automatique de trente-neuf cookies

La société reste exposée à une amende même lorsque la conformité est rétablie avant la séance, car les manquements antérieurs demeurent sanctionnables. Les personnes concernées bénéficient toutefois de processus améliorés pour l’exercice de leurs droits, la suppression des données et le contrôle des traceurs.

• Supprimer les données de clients inactifs au-delà de la durée justifiée
• Effacer les pièces d’identité après traitement des demandes
• Réserver les justificatifs aux doutes raisonnables sur l’identité
• Garantir le suivi et le respect des délais de réponse
• Notifier rapidement les violations présentant un risque
• Bloquer les cookies non nécessaires avant consentement

À faire

• Documenter chaque durée de conservation par finalité
• Automatiser la purge des données devenues inutiles
• Contrôler l’identité uniquement en cas de doute raisonnable
• Tracer les demandes et respecter le délai d’un mois
• Évaluer et notifier rapidement les violations de données

À éviter

• Conserver quatre ans les données de clients inactifs
• Archiver durablement les copies de pièces d’identité
• Demander systématiquement un justificatif aux requérants
• Laisser les demandes sans réponse ou sans information
• Déposer des cookies analytiques avant consentement

La durée nécessaire de conservation des données personnelles

L’article 5, paragraphe 1, e), du RGPD impose une conservation n’excédant pas celle nécessaire aux finalités poursuivies. Une durée de quatre ans pour les clients inactifs a été jugée excessive, tandis qu’une durée de trois ans pouvait être proportionnée. Les pièces d’identité devaient être supprimées dès que la demande était satisfaite ; seul le courrier de réponse pouvait être conservé pour un archivage intermédiaire à des fins contentieuses.

Les modalités d’exercice des droits prévus par le RGPD

L’article 12 du RGPD interdit de demander systématiquement un justificatif d’identité : celui-ci ne peut être sollicité qu’en présence de doutes raisonnables sur l’identité. Le même article impose une réponse dans un délai d’un mois, prorogeable de deux mois sous conditions et avec information de la personne. Des retards récurrents et non expliqués caractérisent un manquement.

Le consentement préalable au dépôt des cookies

L’article 82 de la loi du 6 janvier 1978 impose l’information et le consentement avant tout dépôt de traceur, sauf s’il est exclusivement nécessaire à la communication électronique ou au service demandé. Les cookies Google Analytics poursuivant des finalités de mesure et de personnalisation publicitaire ne relevaient pas de ces exceptions et ne pouvaient être déposés automatiquement.

Article 5, paragraphe 1, e), du règlement (UE) 2016/679, Article 12 du règlement (UE) 2016/679, Articles 13 et 14 du règlement (UE) 2016/679, Article 33 du règlement (UE) 2016/679, Article 82 de la loi n° 78-17 du 6 janvier 1978, Article 20 de la loi n° 78-17 du 6 janvier 1978, Article 83 du règlement (UE) 2016/679, Article L.151-1 du Code de commerce