Mise en conformité RGPD et absence de liquidation d’une astreinte CNIL

La société a également instauré une information par courriel, disponible dans toutes les langues officielles de l’Union européenne, avec un lien permettant d’exercer le droit d’opposition, conformément aux articles 12 et 14 du RGPD. Elle a répondu aux demandes d’accès, notamment sur la source des données, conformément à l’article 15 du RGPD.

La suppression de la base a conduit à la disparition des données collectées illicitement et des données conservées au-delà de cinq ans. Les réponses apportées aux demandes d’accès ont également permis de satisfaire les obligations restant à exécuter. La formation restreinte en déduit que l’injonction a été respectée et décide qu’il n’y a pas lieu de liquider l’astreinte.

⬇️Télécharger la décision version officielle

Dans le délai imparti, la société a supprimé sa base de données, cessé la collecte sur LinkedIn, modifié le renouvellement de la conservation, déployé une information multilingue et transmis les réponses aux demandes d’accès. Après une demande de précisions de la CNIL, elle a confirmé la fin du renouvellement automatique et produit la preuve d’une dernière réponse.

La formation restreinte considère l’injonction exécutée et refuse de liquider l’astreinte.

• Exécuter les mesures imposées dans le délai fixé
• Cesser l’extraction des coordonnées depuis LinkedIn
• Supprimer les données collectées illicitement
• Mettre fin au renouvellement automatique de la conservation
• Informer les personnes dans une langue qu’elles maîtrisent
• Répondre aux demandes d’accès et préciser la source des données

• Éléments de mise en conformité transmis à la CNIL
• Constat de suppression intégrale de la base de données
• Justificatifs de cessation de la collecte sur LinkedIn
• Courriel d’information disponible dans toutes les langues officielles de l’Union européenne
• Capture d’écran établissant la réponse à une demande d’accès

• Suppression des données collectées illicitement
• Cessation de la collecte depuis LinkedIn
• Fin du renouvellement automatique de conservation
• Information multilingue avec possibilité d’opposition
• Réponse aux demandes d’accès et indication de la source disponible

À faire

• Supprimer les données collectées illicitement
• Cesser toute collecte non conforme
• Contrôler les mécanismes de conservation automatique
• Informer les personnes dans une langue maîtrisée
• Répondre et conserver la preuve des demandes d’accès

À éviter

• Réactiver une collecte depuis LinkedIn
• Conserver une base de données illicite
• Renouveler automatiquement une durée excessive
• Limiter l’information à une seule langue
• Laisser une demande d’accès sans réponse

Les conditions de liquidation d’une astreinte administrative

La liquidation est écartée lorsque le destinataire démontre avoir satisfait à l’injonction dans le délai fixé. La formation restreinte retient ici les mesures produites avant l’expiration du délai ainsi que les compléments apportés ultérieurement pour établir l’exécution complète des obligations.

La licéité de la collecte des données personnelles

La conformité à l’article 6 du RGPD est constatée après suppression de la base contenant les données collectées illicitement et cessation de l’extraction des coordonnées depuis LinkedIn. La formation restreinte relève ainsi l’absence persistante de données illicitement collectées et la fin du mécanisme de collecte concerné.

Les obligations d’information et d’accès des personnes

Les articles 12, 14 et 15 du RGPD sont respectés par une information adressée par courriel, disponible dans toutes les langues officielles de l’Union européenne, et par les réponses aux demandes d’accès, incluant les informations disponibles sur la source des données.