Sanction CNIL : conservation excessive des données, consentement invalide et amende de 150 000 euros

Le Conseil d’État valide la sanction infligée par la CNIL pour plusieurs manquements au RGPD et à l’article L. 34-5 du code des postes et des communications électroniques. Une conservation de six ans, notamment pour des données sensibles, excédait la durée nécessaire au regard des finalités du traitement, en méconnaissance de l’article 5 du RGPD.

Le traitement de données relevant de l’article 9 du RGPD exigeait un consentement explicite. La divulgation volontaire des informations ou l’information des personnes concernées ne pouvait s’y substituer. La prospection électronique nécessitait également un consentement libre, spécifique et informé au sens de l’article L. 34-5 ; la présentation difficilement accessible d’un partenaire prospecteur ne permettait pas de le caractériser.

La CNIL pouvait retenir une négligence en raison de manquements multiples portant sur des règles claires. Pour fixer l’amende, elle a pris en compte les critères a), b), f) et g) de l’article 83, notamment la gravité, la mise en conformité, la coopération et les catégories de données. Le montant de 150 000 euros, inférieur au plafond de l’article 20, IV, de la loi du 6 janvier 1978, n’était pas disproportionné. La publication, limitée dans le temps et non nominative après deux ans, a également été validée.

⬇️Télécharger la décision version officielle

La CNIL a infligé à une société de services numériques une amende de 150 000 euros et ordonné sa publication pour conservation excessive de données, absence de consentement explicite à certains traitements sensibles et prospection commerciale irrégulière. La société contestait également le contrôle, la procédure contradictoire, l’absence d’information sur le droit de se taire et le montant de la sanction. Le Conseil d’État a validé l’ensemble.

La CNIL a infligé à une société fournissant des services informatiques et numériques une amende administrative de 150 000 euros, assortie d’une publication, pour plusieurs manquements au RGPD et à l’article L. 34-5 du code des postes et des communications électroniques.

La société conservait pendant six ans des données de clients, notamment sensibles. Elle ne recueillait pas de consentement explicite pour certains traitements relevant de l’article 9 du RGPD. Elle utilisait aussi des données à des fins de prospection commerciale, alors que l’intervention d’une société partenaire était présentée de manière difficilement accessible.

La société contestait également la régularité du contrôle, la procédure contradictoire, l’absence d’information sur le droit de se taire et le montant de la sanction. Le Conseil d’État a rejeté l’ensemble de ses moyens et validé la sanction ainsi que sa publication.

• Durée de conservation excédant celle nécessaire aux finalités du traitement
• Présence de données sensibles conservées pendant six ans
• Absence de consentement explicite pour les données de l’article 9 du RGPD
• Consentement de prospection non libre, spécifique et suffisamment informé
• Manquements multiples à des règles claires caractérisant une négligence
• Prise en compte de la gravité, coopération, mise en conformité et catégories de données

• Courrier de la CNIL au procureur reçu le 3 décembre 2021
• Rapport notifié le 15 mars 2024 et pièces consultables
• Durée de conservation de six ans appliquée aux données clients
• Absence de recueil du consentement explicite des clients
• Mention difficilement accessible de la société partenaire prospectrice

La société sanctionnée reste redevable de l’amende et subit la publication de la décision, sans annulation pour vice de procédure. La CNIL peut maintenir une sanction lorsque les manquements sont établis, multiples et appréciés selon les critères de l’article 83 du RGPD.

• Maintien de l’amende administrative de 150 000 euros
• Publication de la sanction pendant deux ans sous identification nominative
• Exclusion d’une contestation fondée sur le droit de se taire
• Obligation de justifier toute durée de conservation prolongée
• Recueil d’un consentement explicite pour les données sensibles
• Information claire des partenaires utilisés pour la prospection

À faire

• Documenter la durée nécessaire de conservation des données
• Identifier les données relevant de l’article 9 du RGPD
• Recueillir un consentement explicite et traçable
• Présenter clairement tous les partenaires prospecteurs
• Évaluer les critères de l’article 83 avant sanction

À éviter

• Conserver les données six ans sans justification objective
• Assimiler divulgation volontaire et consentement explicite
• Présenter un partenaire dans une mention difficilement accessible
• Fonder la prospection sur un consentement général ou ambigu
• Négliger la coopération et la mise en conformité

Le droit de se taire dans la procédure de sanction de la CNIL

Le Conseil constitutionnel a jugé que l’article 22 de la loi du 6 janvier 1978 méconnaissait l’article 9 de la Déclaration de 1789 faute d’information sur le droit de se taire. Toutefois, l’abrogation a été reportée au 1er octobre 2026 et les mesures antérieures à la publication de la décision QPC ne pouvaient être contestées sur ce fondement. En outre, la sanction n’était pas déterminée de manière décisive par les observations ou propos de la société.

Les conditions du consentement aux traitements de données personnelles

L’article 9 du RGPD impose un consentement explicite pour les données particulières, que la divulgation volontaire ou la simple information ne remplacent pas. L’article L. 34-5 du code des postes et des communications électroniques exige un consentement libre, spécifique et informé pour la prospection électronique. La mention difficilement accessible d’un partenaire prospecteur ne permettait pas de recueillir un consentement suffisamment éclairé.

Les critères de fixation de l’amende administrative

La CNIL pouvait retenir une négligence en présence de manquements multiples à une règle claire. Le montant a été fixé au regard des critères a), b), f) et g) de l’article 83, notamment la gravité, la mise en conformité, la coopération et les catégories de données. Le Conseil d’État a jugé l’amende non disproportionnée et inférieure au plafond de l’article 20, IV, de la loi du 6 janvier 1978.

Article 9 de la Déclaration de 1789, Article 22 de la loi n° 78-17 du 6 janvier 1978, Article 20, IV, de la loi n° 78-17 du 6 janvier 1978, Article 5 du RGPD, Article 9 du RGPD, Article 83 du RGPD, Article L. 34-5 du code des postes et des communications électroniques, Article L. 761-1 du code de justice administrative