Protection des données : la CNIL sanctionne la conservation excessive et l’insécurité des données clients

La formation restreinte retient plusieurs manquements aux principes de minimisation et de limitation de la conservation prévus par l’article 5-1 c) et e) du RGPD. L’enregistrement intégral des appels à des fins de formation n’était pas démontré comme nécessaire, tandis que l’enregistrement et la conservation de coordonnées bancaires étaient dépourvus d’utilité pour cette finalité. La collecte d’une carte de santé en complément d’une pièce d’identité était également excessive.

La conservation de données de clients inactifs pendant plusieurs années et celle des prospects pendant cinq ans excédaient les durées nécessaires. La simple ouverture d’un courriel ne pouvait constituer un contact démontrant un intérêt réel du prospect.

La sécurité des données n’était pas garantie au sens de l’article 32 du RGPD, notamment en raison de mots de passe insuffisamment robustes et de la conservation en clair de scans complets de cartes bancaires. L’information des personnes, exigée par l’article 13 du RGPD, demeurait également incomplète.

Sur le fondement de l’article 20, III, de la loi du 6 janvier 1978, la CNIL prononce une injonction assortie d’une astreinte, une amende administrative de 250 000 euros et une publication limitée à deux ans. Le montant de l’amende est apprécié selon les critères de l’article 83 du RGPD, notamment la gravité, la durée, le nombre de personnes concernées, les catégories de données et les mesures correctrices adoptées.

⬇️Télécharger la décision version officielle

Le contrôle a révélé l’enregistrement intégral de conversations du service client, y compris de coordonnées bancaires, ainsi que des durées de conservation excessives. Des mots de passe peu robustes, l’utilisation de MD5, la conservation en clair de scans de cartes bancaires et une information incomplète ont également été constatés. Plusieurs manquements au RGPD ont été retenus.

La société X, spécialisée dans la vente à distance, exploitait plusieurs sites internet européens et traitait les données de ses clients, prospects et salariés. Un contrôle a révélé l’enregistrement intégral des conversations téléphoniques du service client, y compris de coordonnées bancaires, ainsi que la collecte de justificatifs utilisés contre la fraude.

La société ne définissait pas initialement de durée de conservation pour les clients et prospects. Des données étaient conservées pendant plusieurs années, parfois plus de dix ans, et les prospects pendant cinq ans. L’ouverture d’un courriel pouvait faire repartir le délai de conservation.

Le contrôle a également relevé des mots de passe peu robustes, l’utilisation de MD5 et la conservation en clair de scans complets de cartes bancaires. L’information des salariés et des clients était incomplète. Après une procédure contradictoire et la consultation d’autorités européennes, la CNIL a retenu plusieurs manquements au RGPD.

• Démontrer la nécessité et la proportionnalité des données au regard de chaque finalité
• Limiter les enregistrements téléphoniques aux besoins réels de formation
• Supprimer les coordonnées bancaires sans utilité après le paiement
• Fixer une durée de conservation nécessaire et effectivement appliquée
• Fonder le renouvellement du délai sur un acte clair du prospect
• Mettre en œuvre des mesures de sécurité adaptées aux risques
• Informer complètement les salariés et clients sur les traitements

• Constat de contrôle dans les locaux et analyse des traitements mis en œuvre
• Déclarations de la société lors de l’audition et de la séance
• Décomptes informatiques des clients et prospects inactifs
• Constat des mots de passe faibles et du hachage MD5
• Scans de cartes bancaires conservés en clair pendant six mois

La société doit réorganiser ses traitements, supprimer les données conservées sans nécessité et renforcer la sécurité des comptes et justificatifs. Les personnes concernées bénéficient d’une information complétée, tandis que la société supporte une amende, une injonction sous astreinte et une publicité temporaire de la sanction.

• Fin des enregistrements téléphoniques non nécessaires
• Purge des données clients et prospects au-delà des durées justifiées
• Suppression des scans bancaires complets conservés en clair
• Renforcement des exigences relatives aux mots de passe
• Transmission des justificatifs de conformité sous trois mois

À faire

• Définir les durées de conservation par finalité
• Mettre en place l’archivage et la purge automatisée
• Limiter les enregistrements téléphoniques nécessaires
• Renforcer les règles de mots de passe
• Informer salariés et clients conformément à l’article 13

À éviter

• Conserver les prospects au-delà de deux ans sans justification
• Assimiler une ouverture de courriel à un contact actif
• Enregistrer les coordonnées bancaires pendant les appels
• Demander des copies intégrales de cartes bancaires
• Utiliser des mots de passe courts et peu complexes

Le principe de minimisation des données personnelles

L’article 5-1 c) du RGPD impose des données adéquates, pertinentes et limitées à ce qui est nécessaire. La formation restreinte retient l’enregistrement intégral des appels lorsque la formation des salariés ne justifie pas cette ampleur, ainsi que l’enregistrement de coordonnées bancaires sans utilité pour cette finalité. Elle qualifie également d’excessive la collecte d’une carte de santé en complément d’une pièce d’identité pour lutter contre la fraude.

La limitation de la durée de conservation

L’article 5-1 e) du RGPD impose une conservation n’excédant pas la durée nécessaire aux finalités poursuivies. La conservation de données de clients inactifs pendant plusieurs années et celle de prospects pendant cinq ans ne sont pas justifiées. La simple ouverture d’un courriel ne constitue pas un contact émanant du prospect permettant de faire courir un nouveau délai.

La sécurité des données personnelles

L’article 32 du RGPD exige des mesures adaptées aux risques. La formation restreinte relève l’insuffisante robustesse des mots de passe et la conservation en clair, pendant six mois, de scans complets de cartes bancaires transmis par courriel. L’autorisation antérieure de traiter des numéros tronqués ne couvrait pas l’intégralité des numéros.

Convention n° 108 du Conseil de l’Europe, Règlement (UE) 2016/679, Article 5-1 c) du RGPD, Article 5-1 e) du RGPD, Article 13 du RGPD, Article 20 de la loi n° 78-17 du 6 janvier 1978, Article 32 du RGPD, Article 47 de la loi n° 78-17 du 6 janvier 1978, Article 56 du RGPD, Article 60.4 du RGPD, Article 74 du décret n° 2005-1309 du 20 octobre 2005, Article 83 du RGPD, Article 89 paragraphe 1 du RGPD