Application extraterritoriale du RGPD et clôture d’une mise en demeure CNIL

La CNIL clôt le dossier et les procédures de contrôle après avoir constaté que les échanges avec les jouets ne sont plus transférés vers les serveurs concernés et que la reconnaissance vocale n’est plus utilisée. L’utilisation des jouets ne relève donc plus du champ d’application de la loi Informatique et Libertés du 6 janvier 1978 modifiée, applicable lors des constats.

La clôture est néanmoins assortie d’une publicité identique à celle de la mise en demeure. La CNIL rappelle également l’application de l’article 3 du règlement (UE) 2016/679 lorsque les activités de traitement sont liées à l’offre de biens ou de services à des personnes situées dans l’Union européenne, même lorsque le responsable du traitement n’y est pas établi.

Le vendeur doit donc respecter les obligations du RGPD applicables aux responsables de traitement. La CNIL relève par ailleurs une possibilité persistante d’appairage Bluetooth sans authentification et transmet ce volet à la DGCCRF, compétente pour la sécurité et la conformité des produits et services.

Enfin, l’information des personnes doit notamment préciser l’identité du responsable du traitement, les finalités de la collecte et l’existence des droits concernés.

⬇️Télécharger la décision version officielle

Les contrôles établissent que les échanges des jouets ne sont plus transférés vers les serveurs concernés et que la reconnaissance vocale n’est plus utilisée. La CNIL clôt le dossier et deux procédures de contrôle, mais relève qu’un appairage Bluetooth reste possible sans authentification et transmet ce point à la DGCCRF. Elle constate aussi une information incomplète des personnes lors de la collecte par l’application.

La CNIL avait mis en demeure une société au sujet de jouets capables d’échanger des propos et d’utiliser la reconnaissance vocale. Des contrôles ultérieurs ont établi que les échanges n’étaient plus transférés vers les serveurs concernés et que la reconnaissance vocale n’était plus utilisée.

La CNIL a clôturé le dossier ainsi que deux procédures de contrôle, avec une publicité identique à celle de la mise en demeure. Elle a toutefois constaté qu’un appairage Bluetooth restait possible sans authentification et a transmis ce volet à la DGCCRF. Elle a également relevé l’absence d’information préalable complète des personnes lors de la collecte de données par l’application, notamment sur l’identité du responsable, les finalités et les droits.

• Constater la cessation des transferts de données vers les serveurs concernés
• Constater l’arrêt de l’utilisation de la reconnaissance vocale
• Vérifier que le traitement ne relève plus de la loi applicable lors des constats
• Appliquer l’article 3 du RGPD en cas d’offre de produits à des personnes dans l’Union européenne
• Maintenir une information sur le responsable, les finalités et les droits
• Évaluer la possibilité d’appairage Bluetooth sans authentification

• Nouveaux constats de la délégation de contrôle de la CNIL
• Absence de transfert des propos vers les serveurs concernés
• Constat de la non-utilisation de la reconnaissance vocale
• Possibilité persistante d’appairage Bluetooth sans authentification
• Formulaire dépourvu d’information complète des personnes

Le vendeur bénéficie de la clôture du dossier concernant le traitement ayant cessé, mais reste soumis au RGPD lorsqu’il offre ses produits dans l’Union européenne. Il demeure exposé à un contrôle sur la sécurité des jouets et sur l’information des personnes.

• Respecter les obligations applicables du RGPD
• Informer les personnes sur le responsable et les finalités
• Présenter les droits attachés aux données collectées
• Renforcer l’authentification de l’appairage Bluetooth
• Répondre aux demandes de la DGCCRF

À faire

• Vérifier l’application de l’article 3 du RGPD
• Identifier clairement le responsable du traitement
• Préciser les finalités de collecte
• Informer sur les droits des personnes
• Sécuriser l’appairage Bluetooth par authentification

À éviter

• Transférer à nouveau les échanges vers des serveurs non justifiés
• Réactiver la reconnaissance vocale sans cadre conforme
• Collecter des données sans information préalable
• Laisser l’appairage accessible sans authentification
• Négliger les demandes des autorités compétentes

La cessation d’un traitement relevant de la loi Informatique et Libertés

La clôture est fondée sur de nouveaux constats : les échanges avec les jouets ne sont plus transférés vers les serveurs concernés et la reconnaissance vocale n’est plus utilisée. L’utilisation des jouets ne met donc plus en œuvre un traitement relevant du champ d’application de la loi Informatique et Libertés du 6 janvier 1978 modifiée, applicable au jour des constats.

L’application extraterritoriale de l’article 3 du RGPD

L’article 3 du règlement (UE) 2016/679 s’applique notamment lorsque les traitements sont liés à l’offre de biens ou de services à des personnes situées dans l’Union européenne, même si le responsable du traitement n’y est pas établi. La vente de produits à ces personnes entraîne l’application des obligations du RGPD rappelées par la CNIL.

Les obligations d’information et de sécurisation des jouets

La CNIL relève qu’un appairage Bluetooth demeure possible sans authentification et transmet ce volet à la DGCCRF. Elle constate aussi qu’aucune information n’a été ajoutée au formulaire concernant l’identité du responsable du traitement, les finalités de collecte et les droits des personnes.

Loi Informatique et Libertés du 6 janvier 1978 modifiée, Article 3 du règlement (UE) 2016/679 (RGPD)