L’essentiel
La CNIL rappelle que les articles 12 et 13 du RGPD imposent une information transparente des personnes. L’information relative aux droits constitue une information de premier niveau qui doit être priorisée et englober l’ensemble des droits concernés, notamment l’opposition et l’accès.
La clôture est limitée au périmètre de la mise en demeure et ne préjuge pas de la conformité du recueil du consentement pour les autres finalités mentionnées. Une persistance ou une réitération des manquements lors de vérifications ultérieures pourrait conduire à une procédure de sanction sur le fondement des articles 45 et suivants de la loi du 6 janvier 1978 modifiée, sans nouvelle mise en demeure préalable. La clôture fait l’objet d’une mesure de publicité sur les sites de la CNIL et de Legifrance.
En résumé
- Clôture du dossier après correction des modèles de bannières
- Consentement libre, spécifique et éclairé exigé
- Regroupement des responsables de traitement par finalité
- Information de premier niveau sur l’ensemble des droits
- Clôture limitée aux finalités contrôlées
- Sanction ultérieure possible sans nouvelle mise en demeure
Contexte de l’affaire
Après cette mise en demeure, la société a communiqué des modèles de bannières et s’est engagée à présenter les responsables de traitement par finalité dans ces interfaces. La CNIL a estimé que ces éléments permettaient de recueillir un consentement libre, spécifique et éclairé.
Elle a clôturé le dossier et la procédure de contrôle, tout en rappelant les exigences d’information prévues par les articles 12 et 13 du RGPD. La clôture est limitée au périmètre contrôlé et ne couvre pas les autres finalités de traitement. Une nouvelle vérification pourrait conduire à une procédure de sanction en cas de persistance ou de réitération des manquements.
Conditions / critères (ce que le juge vérifie)
- Recueillir un consentement libre, spécifique et éclairé
- Présenter les responsables de traitement par finalité
- Prioriser l’information relative aux droits des personnes
- Englober l’ensemble des droits dans l’information fournie
- Limiter la clôture au périmètre de la mise en demeure
- Maintenir la conformité pour les autres finalités
Preuves retenues (ce qui a fait pencher la décision)
- Modèles de bannières communiqués à la CNIL
- Éléments de réponse transmis après la mise en demeure
- Engagement de regrouper les responsables par finalité
Conséquences pratiques
- Clôture du dossier et de la procédure de contrôle
- Publicité de la clôture sur les sites concernés
- Maintien du contrôle des autres finalités
- Vérification continue des conditions de consentement
- Risque de sanction en cas de réitération
Checklist pour Avocats
À faire
- Documenter les modèles de bannières utilisés
- Présenter les responsables par finalité
- Recueillir un consentement libre et spécifique
- Prioriser l’information sur les droits
- Contrôler séparément les autres finalités
À éviter
- Limiter l’information à un seul droit
- Assimiler la clôture à une conformité générale
- Mélanger les finalités de traitement
- Réutiliser des bannières non actualisées
- Négliger le risque de vérification ultérieure
FAQ / Q-R juridiques
Le consentement libre, spécifique et éclairé pour la publicité géolocalisée
Les modèles de bannières communiqués ont été considérés comme permettant de recueillir un consentement libre, spécifique et éclairé des personnes pour la publicité géolocalisée. L’engagement de regrouper les responsables de traitement par finalité dans les bannières a également été pris en compte.
La transparence de l’information relative aux droits
La CNIL rappelle, au titre des articles 12 et 13 du RGPD, que l’information sur les droits constitue une information de premier niveau à prioriser. Elle recommande une formulation englobant l’ensemble des droits des personnes, notamment les droits d’opposition et d’accès.
La portée limitée de la clôture et le risque de sanction ultérieure
La clôture ne préjuge pas de la conformité des conditions de consentement pour les autres finalités. En cas de persistance ou de réitération des manquements lors de vérifications ultérieures, une procédure de sanction peut être engagée sur le fondement des articles 45 et suivants de la loi du 6 janvier 1978 modifiée, sans nouvelle mise en demeure préalable.
Textes cités
RGPD & protection des données
Approfondir ce sujet :