Protection des données : formalités CNIL, transferts hors UE et sécurité des traitements

La formation restreinte retient plusieurs manquements à la loi du 6 janvier 1978. Le responsable du traitement devait effectuer une déclaration préalable conformément à l’article 22-I ; les formalités accomplies par un précédent détenteur d’actifs ne pouvaient être invoquées, et une régularisation postérieure demeurait sans incidence.

Le recours à un prestataire établi à l’Île Maurice constituait un transfert hors de l’Union européenne soumis aux articles 68 et 69. En l’absence de niveau de protection adéquat, de garanties contractuelles et de décision préalable de la CNIL, le traitement ne pouvait être mis en œuvre.

La collecte devait être loyale au sens de l’article 6-1° : l’information présentée comme une enquête ne révélait pas la constitution d’une base destinée à la prospection commerciale. L’article L. 34-5 du code des postes et des communications électroniques imposait un consentement préalable, spécifique et informé ; un mécanisme d’opposition postérieur ne suffisait pas.

L’article 34 imposait des mesures de sécurité adaptées, notamment le chiffrement des flux, la robustesse des mots de passe et la gestion des habilitations. L’article 35 exigeait en outre des contrats de sous-traitance précisant les obligations de sécurité, de confidentialité et l’agissement sur instruction du responsable. Les mesures correctives ultérieures n’ont pas effacé les manquements, justifiant un avertissement rendu public.

⬇️Télécharger la décision version officielle

Une société exploitait une base de plus d’un million de seniors à des fins de prospection, avec l’intervention d’entreprises situées à l’Île Maurice et chargées de l’hébergement. La CNIL a relevé l’absence de déclaration, un transfert hors de l’Union européenne sans garanties suffisantes, une information trompeuse, l’absence de consentement à la prospection électronique et plusieurs failles de sécurité. Un avertissement public a été prononcé.

La société X constituait et exploitait une base de données de plus d’un million de seniors destinée à la location à des fins de prospection commerciale. Elle faisait intervenir la société Y, établie à l’Île Maurice, pour contacter des personnes et recueillir leurs coordonnées. La société V hébergeait ensuite les données.

À la suite d’un contrôle de la CNIL, plusieurs irrégularités ont été relevées : absence de déclaration préalable du traitement, transfert de données hors de l’Union européenne sans garanties suffisantes, information trompeuse lors des appels et absence de consentement préalable à la prospection électronique.

Le contrôle a également révélé des transmissions non chiffrées, des mots de passe insuffisamment robustes, des comptes d’anciens salariés encore actifs et des contrats de sous-traitance incomplets ou inexistants. La société a engagé des mesures correctives après la notification du rapport. La formation restreinte a néanmoins prononcé un avertissement et rendu sa décision publique.

• Effectuer la déclaration du traitement avant sa mise en œuvre
• Obtenir une décision préalable de la CNIL pour le transfert irrégulier
• Informer clairement les personnes de la finalité réelle de la collecte
• Recueillir un consentement préalable, spécifique et informé à la prospection
• Chiffrer les flux et sécuriser les accès à la base
• Gérer les habilitations et supprimer les comptes inutiles
• Insérer dans les contrats les obligations de sécurité et de confidentialité

• Pièces du contrôle établissant l’absence de déclaration préalable
• Constat du recours au prestataire établi à l’Île Maurice
• Script d’appel décrivant une enquête sans révéler la prospection
• Courriel de remerciement proposant seulement une faculté d’opposition
• Constats techniques relatifs aux protocoles FTP, HTTP et aux habilitations
• Contrats absents ou dépourvus de clauses de sécurité suffisantes

La société responsable du traitement est sanctionnée malgré les corrections engagées après le contrôle, celles-ci ne supprimant pas les manquements antérieurs. Les prestataires doivent être encadrés par des contrats signés précisant leurs obligations et les mesures de sécurité applicables.

• Avertissement prononcé contre le responsable du traitement
• Publicité de la décision de sanction
• Régularisation déclarative sans effet rétroactif
• Obligation de sécuriser les transferts et accès aux données
• Consentement opt-in requis avant la prospection électronique
• Contrats de sous-traitance à formaliser et signer

À faire

• Déclarer chaque traitement avant sa mise en œuvre
• Obtenir l’autorisation préalable des transferts internationaux concernés
• Informer clairement sur la finalité commerciale de la collecte
• Recueillir un consentement préalable, spécifique et documenté
• Chiffrer les flux et contrôler régulièrement les habilitations

À éviter

• Réutiliser la déclaration effectuée par un précédent responsable
• Transférer des données sans garanties contractuelles appropriées
• Présenter une prospection commerciale comme une simple enquête
• Remplacer le consentement préalable par une faculté d’opposition
• Conserver des comptes d’anciens salariés ou des accès non sécurisés

Les formalités préalables des traitements de données

La société devenue responsable du traitement devait effectuer sa propre déclaration auprès de la CNIL en application de l’article 22-I de la loi du 6 janvier 1978. Les formalités réalisées par la société dont elle avait racheté les actifs ne la dispensaient pas de cette obligation. La déclaration effectuée après la notification du rapport était sans incidence sur la caractérisation du manquement.

Les transferts de données hors de l’Union européenne

Selon les articles 68 et 69 de la loi du 6 janvier 1978, un transfert vers un État n’assurant pas un niveau de protection suffisant nécessite des garanties appropriées et une décision préalable de la CNIL. Le recours à un prestataire mauricien, sans contrat ni clauses contractuelles types initiales, constituait un transfert irrégulier. Les régularisations postérieures ne l’ont pas effacé.

Le consentement préalable à la prospection électronique

L’article L. 34-5 du code des postes et des communications électroniques exige un consentement préalable, libre, spécifique et informé. Une présentation vague de la collecte, suivie d’un courriel offrant seulement une faculté d’opposition, ne permettait pas d’établir un consentement opt-in valable à la prospection par des tiers.

Article 22-I de la loi n° 78-17 du 6 janvier 1978, Article 45 de la loi n° 78-17 du 6 janvier 1978, Article 46 de la loi n° 78-17 du 6 janvier 1978, Article 6-1° de la loi n° 78-17 du 6 janvier 1978, Article 32 de la loi n° 78-17 du 6 janvier 1978, Article 34 de la loi n° 78-17 du 6 janvier 1978, Article 35 de la loi n° 78-17 du 6 janvier 1978, Article 68 de la loi n° 78-17 du 6 janvier 1978, Article 69 de la loi n° 78-17 du 6 janvier 1978, Article L. 34-5 du code des postes et des communications électroniques