Clôture d’une procédure de contrôle après mise en conformité RGPD

La clôture d’une procédure de contrôle est justifiée lorsque les réponses apportées permettent d’établir la mise en conformité sur le périmètre de la mise en demeure. Sont notamment retenus un recueil du consentement informé, spécifique et univoque pour la publicité géolocalisée, des durées de conservation conformes et des mesures de sécurité portant sur les mots de passe et l’utilisation de données anonymisées en développement.

La clôture ne vaut pas validation générale des traitements ni des conditions de consentement relatives à d’autres finalités. La possibilité laissée à l’utilisateur de choisir précisément les responsables de traitement destinataires des données demeure une amélioration préconisée.

La persistance ou la réitération des manquements peut conduire à une procédure de sanction sur le fondement des articles 45 et suivants de la loi du 6 janvier 1978 modifiée, sans nouvelle mise en demeure préalable. La clôture fait l’objet de la même publicité que la mise en demeure.

⬇️Télécharger la décision version officielle

L’autorité constate la conformité des fenêtres contextuelles, des durées de conservation, des mesures de sécurité des mots de passe et de l’utilisation de données anonymisées. Elle clôt le dossier et la procédure de contrôle, tout en relevant que l’utilisateur ne peut pas encore choisir individuellement les responsables de traitement destinataires de ses données. La clôture est publiée et ne couvre pas les autres finalités.

Une autorité de contrôle avait mis en demeure une société à la suite d’une procédure de contrôle. Après examen des réponses, elle constate que les modèles de fenêtres contextuelles permettent de recueillir un consentement informé, spécifique et univoque pour la publicité géolocalisée.

La société a également démontré la conformité des durées de conservation des données et justifié de mesures de sécurité relatives aux mots de passe donnant accès aux bases et à l’utilisation de données anonymisées pour le développement.

L’autorité clôt le dossier et la procédure de contrôle, tout en relevant que l’utilisateur ne peut pas encore choisir individuellement les responsables de traitement destinataires de ses données. La clôture est publiée et ne préjuge pas de la conformité des autres finalités de traitement.

• Consentement informé, spécifique et univoque pour la publicité géolocalisée.
• Modèles de fenêtres contextuelles adaptés au recueil du consentement.
• Durées de conservation des données conformes au RGPD.
• Mesures de sécurité protégeant les mots de passe d’accès aux bases.
• Utilisation de données anonymisées dans les bases de développement.
• Absence de persistance ou de réitération des manquements contrôlés.

• Modèles de fenêtres contextuelles communiqués à l’autorité.
• Éléments démontrant la conformité des durées de conservation.
• Mesures de sécurité appliquées aux mots de passe des bases.
• Justification de l’utilisation de données anonymisées pour le développement.

La société bénéficie de la clôture du dossier et de la procédure de contrôle sur le périmètre examiné, avec publication de cette clôture. Elle reste exposée à une procédure de sanction en cas de persistance ou de réitération des manquements, et doit examiner les autres finalités de traitement.

• Maintien de fenêtres contextuelles permettant un consentement conforme.
• Conservation documentée des données selon des durées conformes.
• Protection renforcée des mots de passe d’accès aux bases.
• Poursuite de l’anonymisation des données utilisées en développement.
• Évaluation du choix individuel des responsables de traitement destinataires.
• Vérification séparée du consentement pour les autres finalités.

À faire

• Conserver les modèles de fenêtres contextuelles validés.
• Documenter les durées de conservation appliquées.
• Renforcer la protection des mots de passe.
• Maintenir l’anonymisation des données de développement.
• Évaluer le choix individuel des destinataires.

À éviter

• Réutiliser la clôture pour d’autres finalités.
• Conserver les données au-delà des durées conformes.
• Utiliser des données identifiantes en développement.
• Négliger la sécurité des accès aux bases.
• Réitérer les manquements déjà contrôlés.

Le consentement informé, spécifique et univoque

Les modèles de fenêtre contextuelle ont été considérés comme permettant de recueillir un consentement conforme au RGPD pour la publicité géolocalisée. La clôture ne préjuge toutefois pas de la conformité du consentement pour les autres finalités mentionnées dans la décision.

La conformité des durées de conservation et mesures de sécurité

La procédure a été clôturée après démonstration de durées de conservation conformes au RGPD et de mesures de sécurité concernant les mots de passe d’accès aux bases ainsi que l’utilisation de données anonymisées dans les bases de développement.

Les sanctions en cas de réitération des manquements

La persistance ou la réitération des manquements peut entraîner une procédure de sanction conformément aux articles 45 et suivants de la loi du 6 janvier 1978 modifiée. Une nouvelle mise en demeure ne serait pas nécessairement adressée préalablement.

Articles 45 et suivants de la loi du 6 janvier 1978 modifiée