L’essentiel
La société a également instauré une information par courriel, disponible dans toutes les langues officielles de l’Union européenne, avec un lien permettant d’exercer le droit d’opposition, conformément aux articles 12 et 14 du RGPD. Elle a répondu aux demandes d’accès, notamment sur la source des données, conformément à l’article 15 du RGPD.
La suppression de la base a conduit à la disparition des données collectées illicitement et des données conservées au-delà de cinq ans. Les réponses apportées aux demandes d’accès ont également permis de satisfaire les obligations restant à exécuter. La formation restreinte en déduit que l’injonction a été respectée et décide qu’il n’y a pas lieu de liquider l’astreinte.
En résumé
- Astreinte non liquidée après exécution complète de l’injonction
- Article 6 du RGPD respecté après cessation de la collecte illicite
- Suppression intégrale de la base comme preuve déterminante
- Durée de conservation désormais dépourvue de renouvellement automatique
- Information multilingue et réponses effectives aux demandes d’accès
Contexte de l’affaire
Dans le délai imparti, la société a supprimé sa base de données, cessé la collecte sur LinkedIn, modifié le renouvellement de la conservation, déployé une information multilingue et transmis les réponses aux demandes d’accès. Après une demande de précisions de la CNIL, elle a confirmé la fin du renouvellement automatique et produit la preuve d’une dernière réponse.
La formation restreinte considère l’injonction exécutée et refuse de liquider l’astreinte.
Conditions / critères (ce que le juge vérifie)
- Exécuter les mesures imposées dans le délai fixé
- Cesser l’extraction des coordonnées depuis LinkedIn
- Supprimer les données collectées illicitement
- Mettre fin au renouvellement automatique de la conservation
- Informer les personnes dans une langue qu’elles maîtrisent
- Répondre aux demandes d’accès et préciser la source des données
Preuves retenues (ce qui a fait pencher la décision)
- Éléments de mise en conformité transmis à la CNIL
- Constat de suppression intégrale de la base de données
- Justificatifs de cessation de la collecte sur LinkedIn
- Courriel d’information disponible dans toutes les langues officielles de l’Union européenne
- Capture d’écran établissant la réponse à une demande d’accès
Conséquences pratiques
- Suppression des données collectées illicitement
- Cessation de la collecte depuis LinkedIn
- Fin du renouvellement automatique de conservation
- Information multilingue avec possibilité d’opposition
- Réponse aux demandes d’accès et indication de la source disponible
Checklist pour Avocats
À faire
- Supprimer les données collectées illicitement
- Cesser toute collecte non conforme
- Contrôler les mécanismes de conservation automatique
- Informer les personnes dans une langue maîtrisée
- Répondre et conserver la preuve des demandes d’accès
À éviter
- Réactiver une collecte depuis LinkedIn
- Conserver une base de données illicite
- Renouveler automatiquement une durée excessive
- Limiter l’information à une seule langue
- Laisser une demande d’accès sans réponse
FAQ / Q-R juridiques
Les conditions de liquidation d’une astreinte administrative
La liquidation est écartée lorsque le destinataire démontre avoir satisfait à l’injonction dans le délai fixé. La formation restreinte retient ici les mesures produites avant l’expiration du délai ainsi que les compléments apportés ultérieurement pour établir l’exécution complète des obligations.
La licéité de la collecte des données personnelles
La conformité à l’article 6 du RGPD est constatée après suppression de la base contenant les données collectées illicitement et cessation de l’extraction des coordonnées depuis LinkedIn. La formation restreinte relève ainsi l’absence persistante de données illicitement collectées et la fin du mécanisme de collecte concerné.
Les obligations d’information et d’accès des personnes
Les articles 12, 14 et 15 du RGPD sont respectés par une information adressée par courriel, disponible dans toutes les langues officielles de l’Union européenne, et par les réponses aux demandes d’accès, incluant les informations disponibles sur la source des données.
Textes cités
RGPD & protection des données
Approfondir ce sujet :