L'autorité roumaine sanctionne un opérateur pour le dépôt de témoins de connexion non essentiels sans information préalable ni consentement valide, en application de sa loi nationale transposant la directive sur la vie privée et les communications électroniques.

Faits et contexte

L'Autorité nationale de surveillance du traitement des données à caractère personnel (ANSPDCP) a aujourd'hui publié une décision de sanction à l'encontre de la société AVIZIERO S.R.L., comprenant le prononcé d'une amende de 5 000 lei (environ 1 000 €), pour des manquements en lien avec l'utilisation de témoins de connexion.

L'enquête a été initiée suite à la plainte d'une personne physique concernant le dépôt de témoins de connexion sur son équipement terminal lors de la visite du site internet de l'opérateur.

Motifs de la décision

• Obligation d'obtenir le consentement et de fournir une information préalable au dépôt de témoins de connexion (article 4, paragraphe 5, points a et b de la loi n° 506/2004) : L'autorité a constaté que le site internet de la société déposait des témoins de connexion non techniquement nécessaires dès l'accès par l'utilisateur. Ce faisant, l'opérateur stockait des informations et accédait à des informations stockées sur l'équipement terminal des utilisateurs sans avoir recueilli leur consentement préalable. De plus, aucune information claire et complète sur les finalités de ces opérations n'était fournie aux utilisateurs avant le dépôt de ces témoins, manquant ainsi aux deux conditions cumulatives requises par la législation nationale applicable en matière de communications électroniques.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 5 000 lei (environ 1 000 €) à AVIZIERO S.R.L.

Enseignements

Cette décision confirme / précise / rappelle que :

• Le consentement de l'utilisateur doit être obtenu préalablement à tout dépôt ou lecture de témoins de connexion non strictement nécessaires au fonctionnement du service.
• L'information fournie aux utilisateurs sur les finalités des traceurs doit être claire, complète et présentée avant tout dépôt et avant le recueil du consentement.
• Les obligations d'information et de recueil du consentement sont cumulatives ; le manquement à l'une seule de ces exigences suffit à constituer une violation.
• Par défaut, lors de l'arrivée d'un utilisateur sur un site, aucun témoin de connexion non essentiel ne doit être activé.