Mise en conformité RGPD et absence de liquidation d’une astreinte prononcée par la CNIL

La conservation des données de prospection pendant trois ans à compter d’un dernier acte pertinent, tel qu’une commande ou une connexion, n’est pas jugée excessive au regard de l’article 5-1 e) du RGPD. La conservation statistique au-delà de cette période est admise lorsque les mesures prises empêchent effectivement la réidentification.

L’information des salariés et des clients a été complétée conformément à l’article 13 du RGPD. La sécurité des comptes clients est regardée comme suffisante au regard de l’article 32 du RGPD dès lors qu’une politique de mots de passe et une temporisation des accès sont mises en œuvre.

La production progressive de justificatifs précis permet d’établir la conformité de chaque volet de l’injonction. L’astreinte n’est donc pas liquidée. La décision est rendue publique, avec une désidentification ultérieure de la société.

⬇️Télécharger la décision version officielle

La société a transmis plusieurs séries de justificatifs détaillant les mesures adoptées. Elle a réduit les enregistrements téléphoniques, restreint les accès aux données, modifié le calcul de l’inactivité des prospects et supprimé certaines données. Elle a également organisé une conservation ne permettant plus la réidentification, cessé de conserver les mots de passe hachés des anciens clients, complété l’information des personnes et renforcé les exigences applicables aux mots de passe.

La formation restreinte a estimé que l’ensemble de l’injonction avait été exécuté et a décidé de ne pas liquider l’astreinte.

• Réduire substantiellement les enregistrements téléphoniques non ponctuels
• Limiter les accès aux données aux personnes ayant à en connaître
• Calculer l’inactivité des prospects depuis un dernier acte pertinent
• Supprimer les données conservées au titre de l’ancienne politique
• Empêcher techniquement la réidentification des données archivées
• Informer les personnes sur les traitements et leurs bases juridiques
• Renforcer les mots de passe et temporiser les accès

• Réponses et justificatifs transmis à la CNIL
• Procédure de réduction des enregistrements des appels téléphoniques
• Justificatifs limitant les accès à trois personnes habilitées
• Éléments établissant la suppression des anciennes données de prospects
• Description des trois tables séparées empêchant la réidentification
• Note d’information signée par chaque salarié

La société échappe à la liquidation de l’astreinte puisque chaque volet de l’injonction est considéré comme exécuté. La décision reste toutefois publique, avec une désidentification ultérieure de la société.

• Absence de liquidation de l’astreinte journalière
• Maintien d’une politique de conservation documentée
• Restriction des accès aux seules personnes habilitées
• Suppression des données excédant les durées retenues
• Renforcement de l’information des salariés et des clients
• Maintien d’exigences renforcées pour les mots de passe

À faire

• Documenter chaque mesure de mise en conformité
• Limiter les accès selon les fonctions exercées
• Définir les points de départ des durées de conservation
• Supprimer ou anonymiser les données devenues inutiles
• Contrôler les mots de passe et les tentatives d’accès

À éviter

• Enregistrer systématiquement les conversations téléphoniques
• Prendre une simple ouverture de courriel comme contact actif
• Conserver les adresses électroniques d’anciens clients
• Permettre la réidentification des données archivées
• Omettre les bases juridiques dans l’information délivrée

Les conditions d’exécution d’une injonction de mise en conformité

La formation restreinte vérifie séparément chaque volet de l’injonction à partir des réponses et justificatifs transmis. La réduction des enregistrements, la limitation des accès, la suppression des données anciennes, l’information des personnes et le renforcement de l’authentification sont jugés suffisants. L’exécution complète de l’injonction exclut la liquidation de l’astreinte.

La limitation de la durée de conservation des données

Au regard de l’article 5(1)(e) du RGPD, une conservation des données des prospects pendant trois ans à compter d’un dernier acte pertinent n’est pas excessive. La société a supprimé les données relevant de l’ancienne politique et retenu comme points de départ la dernière commande ou la dernière connexion, à l’exclusion de la simple ouverture d’un courriel.

Les mesures de sécurité des comptes clients

Au titre de l’article 32 du RGPD, la formation restreinte valide des mots de passe d’au moins huit caractères comprenant plusieurs catégories de caractères, combinés à une mesure de temporisation après les échecs d’authentification. Ces mesures sont considérées comme suffisantes pour satisfaire le volet relatif à la sécurité.