La Commission Nationale de l'Informatique et des Libertés (CNIL) a publié une décision de sanction de 3 500 000 € à l'encontre d'une société pour avoir transmis les données des membres de son programme de fidélité à un réseau social à des fins publicitaires, sans base légale valable. Cette affaire débute par plusieurs contrôles menés par la CNIL en janvier 2023.

L’enquête menée par l’autorité a permis de constater :

* Obligation de disposer d'une base légale (article 6 du RGPD) : La société a transmis des données personnelles pour du ciblage publicitaire en invoquant le consentement, mais celui-ci a été jugé non valable. En effet, le formulaire d'adhésion au programme de fidélité n'informait pas les personnes de cette transmission de données à un réseau social. De plus, les informations fournies sur le site web étaient soit lacunaires, soit ne permettaient pas de comprendre clairement la finalité du traitement, rendant le consentement non éclairé.

* Obligation d'information des personnes concernées (articles 12 et 13 du RGPD) : L'information fournie sur le site web de la société a été jugée imprécise, notamment car elle ne liait pas clairement les finalités des traitements à leurs bases légales. Elle était également incomplète, omettant la finalité de publicité ciblée et la durée de conservation des données du programme de fidélité, et contenait des informations erronées, comme la référence au bouclier de protection des données, qui n'est plus en vigueur.

* Obligation d'assurer la sécurité des données (article 32 du RGPD) : Les règles de complexité des mots de passe des comptes utilisateurs ont été jugées insuffisamment robustes. L'autorité a également rappelé que la fonction de hachage SHA-256 utilisée par la société ne permettait pas un stockage sécurisé des mots de passe.

* Obligation de réaliser une analyse d'impact (article 35 du RGPD) : La société n'a pas réalisé d'analyse d'impact sur la protection des données (AIPD) avant de mettre en œuvre le traitement de publicité ciblée. Une telle analyse était pourtant requise, car le traitement impliquait un volume important de données personnelles et un croisement de données, ce qui était susceptible d'engendrer un risque élevé pour les droits et libertés des personnes.

* Manquement aux obligations liées à l'utilisation des témoins de connexion (article 82 de la loi Informatique et Libertés) : Il a été constaté que onze témoins de connexion soumis à consentement étaient déposés sur le terminal de l'utilisateur avant toute expression de son choix. De plus, même en cas de refus, ces témoins de connexion n'étaient pas supprimés et continuaient d'être lus.

En conséquence, l’autorité a prononcé une amende de 3 500 000 € à l'encontre de la société.

En outre, l’autorité a décidé de rendre publique sa délibération.