{"id":10432,"date":"2021-06-25T08:46:36","date_gmt":"2021-06-25T06:46:36","guid":{"rendered":"https:\/\/www.agilit.law\/?p=10432"},"modified":"2021-10-27T00:10:44","modified_gmt":"2021-10-26T22:10:44","slug":"condamnation-de-brico-prive-par-la-cnil-a-une-amende-de-500-000-euros-pour-divers-manquements-a-la-reglementation-donnees-a-caractere-personnel","status":"publish","type":"post","link":"https:\/\/www.agilit.law\/en\/donnees-caractere-personnel\/condamnation-de-brico-prive-par-la-cnil-a-une-amende-de-500-000-euros-pour-divers-manquements-a-la-reglementation-donnees-a-caractere-personnel\/","title":{"rendered":"Condamnation de Brico Priv\u00e9 par la Cnil \u00e0 une amende de 500\u00a0000 euros pour divers manquements \u00e0 la r\u00e8glementation \u00ab\u00a0donn\u00e9es \u00e0 caract\u00e8re personnel\u00a0\u00bb"},"content":{"rendered":"<p>Dans le cadre de contr\u00f4les successifs depuis 2018 aupr\u00e8s de la soci\u00e9t\u00e9 Brico Priv\u00e9, \u00e9ditrice du site internet bricoprive.com, la Commission Nationale de l\u2019Informatique et des Libert\u00e9s (dite \u00ab Cnil \u00bb) a relev\u00e9 plusieurs manquements \u00e0 la r\u00e8glementation applicable en mati\u00e8re de protection des donn\u00e9es \u00e0 caract\u00e8re personnel s\u2019agissant des traitements de donn\u00e9es relatives aux clients et prospects de la soci\u00e9t\u00e9 pr\u00e9cit\u00e9e, manquements qui ont abouti \u00e0 la condamnation de la soci\u00e9t\u00e9 Brico Priv\u00e9 par la formation restreinte de la Cnil (cf. <a href=\"https:\/\/www.legifrance.gouv.fr\/cnil\/id\/CNILTEXT000043668709\" target=\"_blank\" rel=\"noopener\">Cnil, D\u00e9lib\u00e9ration SAN-2021-008 du 14 juin 2021<\/a>).<\/p>\n<p>A titre liminaire, il y a lieu de constater que cette sanction est prononc\u00e9e, pour ce qui concerne les manquements au <a href=\"https:\/\/eur-lex.europa.eu\/legal-content\/FR\/TXT\/?uri=CELEX%3A32016R0679\" target=\"_blank\" rel=\"noopener\">r\u00e8glement g\u00e9n\u00e9ral sur la protection des donn\u00e9es dit \u00ab RGPD \u00bb<\/a>, suite \u00e0 la mise en \u0153uvre de la <strong>proc\u00e9dure de coop\u00e9ration entre les autorit\u00e9s europ\u00e9ennes de contr\u00f4le, <\/strong>\u00e0 savoir en l\u2019esp\u00e8ce les autorit\u00e9s fran\u00e7aise (cf. la Cnil), espagnole, italienne et portugaise, conform\u00e9ment aux articles 56 et 60 du RGPD, en raison de la localisation des personnes concern\u00e9es dans les Etats membres de l\u2019Union europ\u00e9enne pr\u00e9cit\u00e9s (cf. caract\u00e8re transfrontalier des traitements de donn\u00e9es \u00e0 caract\u00e8re personnel contr\u00f4l\u00e9s). En revanche, les manquements constat\u00e9s \u00e0 la r\u00e8glementation telle qu\u2019issue du seul droit fran\u00e7ais, et en particulier \u00e0 <a href=\"https:\/\/www.legifrance.gouv.fr\/codes\/article_lc\/LEGIARTI000042155961\/\" target=\"_blank\" rel=\"noopener\">l\u2019article L.34-5 code des postes et des communications \u00e9lectroniques (ou \u00ab\u00a0CPCE\u00a0\u00bb)<\/a> et \u00e0 la <a href=\"https:\/\/www.legifrance.gouv.fr\/loda\/id\/JORFTEXT000000886460\/\" target=\"_blank\" rel=\"noopener\">loi dite \u00ab\u00a0Informatique et libert\u00e9s\u00a0\u00bb<\/a> demeurent de la comp\u00e9tence exclusive de la Cnil, de tels manquements n\u2019ayant pas \u00e9t\u00e9 soumis au syst\u00e8me de coop\u00e9ration pr\u00e9cit\u00e9.<\/p>\n<p><strong>\u00a0<\/strong><\/p>\n<h2><strong>Manquement \u00e0 l\u2019obligation de limiter la dur\u00e9e de conservation des donn\u00e9es<\/strong><\/h2>\n<p>S\u2019agissant des pratiques mises en \u0153uvre par Brico Priv\u00e9, la formation restreinte de la Cnil a sanctionn\u00e9 cette derni\u00e8re au titre tout d\u2019abord d\u2019une <strong>conservation excessive des donn\u00e9es<\/strong>.<\/p>\n<p>En effet, dans le cadre de ses contr\u00f4les, la Cnil avait constat\u00e9\u00a0:<\/p>\n<ul>\n<li>que Brico Priv\u00e9 avait conserv\u00e9 en base active des donn\u00e9es de clients n\u2019ayant pas pass\u00e9 commande depuis plus de 5 ans, sans que Brico Priv\u00e9 soit en mesure d\u2019avancer une explication ou d\u2019apporter une justification quant \u00e0 la dur\u00e9e de cette conservation ou d\u2019apporter la preuve d\u2019un contact plus r\u00e9cent avec lesdits clients (\u00e9change avec le service clients, clic sur un lien promotionnel figurant dans un courrier \u00e9lectronique, etc.)\u00a0;<\/li>\n<li>que des donn\u00e9es d\u2019utilisateurs ne s\u2019\u00e9tant pas connect\u00e9s \u00e0 leur compte en ligne depuis plus de 5 ans \u00e9taient encore conserv\u00e9es en base active par Brico Priv\u00e9\u00a0;<\/li>\n<li>que si Brico Priv\u00e9 a effectivement transmis \u00e0 la Cnil sa politique interne en mati\u00e8re de conservation des donn\u00e9es, force \u00e9tait de constater qu\u2019en pratique les dur\u00e9es ainsi d\u00e9finies n\u2019\u00e9taient pas respect\u00e9es\u00a0;<\/li>\n<\/ul>\n<p>ce dont il r\u00e9sulte que les pratiques d\u00e9ploy\u00e9es par Brico Priv\u00e9 s\u2019agissant des dur\u00e9es de conservation des donn\u00e9es n\u2019\u00e9taient pas conformes aux principes applicables en la mati\u00e8re tels qu\u2019issus de l\u2019article 5, 1, e) du RGPD.<\/p>\n<p>&nbsp;<\/p>\n<h2><strong>Manquement relatif \u00e0 l\u2019obligation d\u2019informer les personnes concern\u00e9es<\/strong><\/h2>\n<p>Par ailleurs, il est apparu que l\u2019information mise \u00e0 disposition des personnes concern\u00e9es sur le site internet de Brico Priv\u00e9 ne comportait <strong>pas l\u2019ensemble de \u00e9l\u00e9ments obligatoires au titre de l\u2019article 13 du RPGD<\/strong>. En particulier, n\u2019\u00e9taient pas port\u00e9es \u00e0 la connaissance des personnes concern\u00e9es les informations suivantes\u00a0:<\/p>\n<ul>\n<li><strong>les coordonn\u00e9es du d\u00e9l\u00e9gu\u00e9 \u00e0 la protection des donn\u00e9es<\/strong>: en effet, la fonctionnalit\u00e9 offerte sur le site internet de Brico Priv\u00e9 permettant aux personnes concern\u00e9es d\u2019\u00eatre mises en relation avec le d\u00e9l\u00e9gu\u00e9 \u00e0 la protection des donn\u00e9es, dans une rubrique intitul\u00e9e \u00ab\u00a0<em>Service Client \u2013 contactez-nous<\/em>\u00a0\u00bb dont il est pr\u00e9cis\u00e9 qu\u2019elle permettait de \u00ab\u00a0<em>poser des questions \u00e0 propos d\u2019une commande ou des informations sur<\/em> [les] <em>produits<\/em> [de Brico Priv\u00e9]\u00a0\u00bb, n\u2019\u00e9tait pas de nature \u00e0 r\u00e9pondre aux exigences de l\u2019article 13 du RGPD dans la mesure o\u00f9 les personnes concern\u00e9es ne pouvaient pas s\u2019attendre \u00e0 une telle mise en relation\u00a0;<\/li>\n<li><strong>les dur\u00e9es de conservation<\/strong>: au cours de la proc\u00e9dure devant la formation restreinte de la Cnil, un lien visant une politique de conservation des donn\u00e9es avait \u00e9t\u00e9 int\u00e9gr\u00e9 sur le site internet de Brico Priv\u00e9. Toutefois, il a \u00e9t\u00e9 constat\u00e9 que ce lien \u00e9tait inactif, rendant indisponible une telle information pour les personnes concern\u00e9es\u00a0;<\/li>\n<li><strong>les bases juridiques des traitements<\/strong>: si certaines informations y aff\u00e9rentes \u00e9taient pr\u00e9sentes dans diff\u00e9rents documents, notamment dans les conditions g\u00e9n\u00e9rales de vente, elles ne l\u2019\u00e9taient pas dans les mentions l\u00e9gales ou dans la rubrique intitul\u00e9e \u00ab\u00a0donn\u00e9es personnelles\u00a0\u00bb, et la formation restreinte de la Cnil souligne qu\u2019elles sont incompl\u00e8tes et que cette pratique n\u2019est pas de nature \u00e0 assurer l\u2019accessibilit\u00e9 de ces informations (cf. diss\u00e9mination des informations)\u00a0;<\/li>\n<li><strong>certains droits dont les personnes concern\u00e9es b\u00e9n\u00e9ficient au titre du RGPD<\/strong> (en l\u2019esp\u00e8ce, droit \u00e0 la limitation du traitement, droit \u00e0 la portabilit\u00e9 des donn\u00e9es et droit d\u2019introduire une r\u00e9clamation aupr\u00e8s d\u2019une autorit\u00e9 de contr\u00f4le).<\/li>\n<\/ul>\n<p>&nbsp;<\/p>\n<h2><strong>Manquement relatif \u00e0 l\u2019obligation de respecter les demandes d\u2019effacement de donn\u00e9es \u00e0 caract\u00e8re personnel<\/strong><\/h2>\n<p>Au cours de son contr\u00f4le, la Cnil a pu observer que <strong>lorsqu\u2019une personne demandait l\u2019effacement de son compte en ligne, Brico Priv\u00e9 ne supprimait pas effectivement ses donn\u00e9es mais se contentait de d\u00e9sactiver son compte<\/strong>, ce dont il r\u00e9sultait que les donn\u00e9es concern\u00e9es demeuraient conserv\u00e9es par Brico Priv\u00e9.<\/p>\n<p>A cet \u00e9gard, la formation restreinte de la Cnil consid\u00e8re que <strong>si, apr\u00e8s une demande d\u2019effacement, certaines donn\u00e9es \u00e0 caract\u00e8re personnel peuvent \u00eatre conserv\u00e9es en archivage interm\u00e9diaire<\/strong>, notamment au titre des obligations l\u00e9gales ou \u00e0 des fins probatoires ou lorsque le responsable de traitement dispose d\u2019un motif l\u00e9gitime imp\u00e9rieux, <strong>celles non n\u00e9cessaires dans le cadre du respect de ces autres obligations ou finalit\u00e9s doivent \u00eatre supprim\u00e9es apr\u00e8s l\u2019exercice de ce droit d\u00e8s lors que les conditions pos\u00e9es par l\u2019article 17 du RGPD sont remplies<\/strong>. La formation contentieuse de la Cnil pr\u00e9cise que tel est \u00e0 tout le moins le cas pour le traitement de l\u2019adresse \u00e9lectronique utilis\u00e9e \u00e0 des fins de prospection commerciale, dont la conservation par Brico Priv\u00e9 \u00e0 l\u2019issue de l\u2019exercice d\u2019une telle demande d\u2019effacement n\u2019apparaissait pas l\u00e9gitime sur un autre fondement.<\/p>\n<p>&nbsp;<\/p>\n<h2><strong>Manquement relatif \u00e0 l\u2019obligation d\u2019assurer la s\u00e9curit\u00e9 des donn\u00e9es \u00e0 caract\u00e8re personnel<\/strong><\/h2>\n<p>La formation restreinte de la Cnil rel\u00e8ve que <strong>les r\u00e8gles d\u00e9ploy\u00e9es en mati\u00e8re de mots de passe par Brico Priv\u00e9 ne sont pas conformes aux principes applicables en la mati\u00e8re<\/strong> (cf. pour m\u00e9moire les recommandations de la Cnil\u00a0: <a href=\"https:\/\/www.cnil.fr\/fr\/authentification-par-mot-de-passe-les-mesures-de-securite-elementaires\" target=\"_blank\" rel=\"noopener\">Authentification par mot de passe : les mesures de s\u00e9curit\u00e9 \u00e9l\u00e9mentaires | CNIL<\/a>), tout en soulignant que l\u2019absence de violation de donn\u00e9es \u00e0 caract\u00e8re personnel ne suffit pas \u00e0 d\u00e9montrer l\u2019absence de manquement \u00e0 l\u2019obligation de s\u00e9curit\u00e9 telle que pr\u00e9vue \u00e0 l\u2019article 32 du RGPD.<\/p>\n<p>En l\u2019esp\u00e8ce, <strong>les dispositifs d\u2019authentification mis en place par Brico Priv\u00e9 ont \u00e9t\u00e9 consid\u00e9r\u00e9s par la formation restreinte de la Cnil comme insuffisamment robustes (cf. longueur et complexit\u00e9 insuffisantes)<\/strong>. En particulier\u00a0:<\/p>\n<ul>\n<li>un tel dispositif pour acc\u00e9der au compte en ligne sur le site internet de Brico Priv\u00e9 reposait sur un mot de passe compos\u00e9 uniquement de six caract\u00e8res num\u00e9riques, de type 123456\u00a0;<\/li>\n<li>le syst\u00e8me d\u2019authentification des salari\u00e9s de Brico Priv\u00e9 pour acc\u00e9der au logiciel de gestion de la relation client \u00e9tait compos\u00e9 de huit caract\u00e8res, contenant au moins un chiffre et une lettre.<\/li>\n<\/ul>\n<p>A cet \u00e9gard, la formation restreinte de la Cnil rappelle que \u00ab\u00a0<em>pour assurer un niveau de s\u00e9curit\u00e9 suffisant et satisfaire aux exigences de robustesse des mots de passe, <strong>lorsqu\u2019une authentification repose uniquement sur un identifiant et un mot de passe, la CNIL recommande<\/strong>, dans sa d\u00e9lib\u00e9ration n\u00b0 2017-012 du 19 janvier 2017, <strong>que le mot de passe comporte au minimum douze caract\u00e8res &#8211; contenant au moins une lettre majuscule, une lettre minuscule, un chiffre et un caract\u00e8re sp\u00e9cial &#8211; ou alors comporte au moins huit caract\u00e8res &#8211; contenant trois de ces quatre cat\u00e9gories de caract\u00e8res &#8211; s\u2019il est accompagn\u00e9 d\u2019une mesure compl\u00e9mentaire <\/strong>comme, par exemple, la temporisation d\u2019acc\u00e8s au compte apr\u00e8s plusieurs \u00e9checs (suspension temporaire de l\u2019acc\u00e8s dont la dur\u00e9e augmente \u00e0 mesure des tentatives), la mise en place d\u2019un m\u00e9canisme permettant de se pr\u00e9munir contre les soumissions automatis\u00e9es et intensives de tentatives (comme un captcha ) et\/ou le blocage du compte apr\u00e8s plusieurs tentatives d\u2019authentification infructueuses<\/em>\u00a0\u00bb.<\/p>\n<p>En outre, <strong>les mots de passe permettant aux salari\u00e9s d\u2019acc\u00e9der \u00e0 des bases de donn\u00e9es \u00e9taient conserv\u00e9s \u00ab\u00a0en clair<\/strong>\u00a0\u00bb dans un fichier texte contenu dans un ordinateur de Brico Priv\u00e9, ce qui ne constitue pas une solution de gestion s\u00e9curis\u00e9e des mots de passe.<\/p>\n<p>Par ailleurs, <strong>la fonction de hachage MD5 utilis\u00e9e pour la conservation des mots de passe des salari\u00e9s utilisateurs du site internet de Brico Priv\u00e9 \u00e9tait obsol\u00e8te<\/strong>. A cet \u00e9gard, la formation restreinte de la Cnil rappelle que \u00ab\u00a0<em>le recours \u00e0 la fonction de hachage MD5 par la soci\u00e9t\u00e9 n\u2019est plus consid\u00e9r\u00e9e depuis 2004 comme conforme \u00e0 l\u2019\u00e9tat de l\u2019art et son utilisation en cryptographie ou en s\u00e9curit\u00e9 est proscrite<\/em>\u00a0\u00bb, une telle pratique ne permettant pas de garantir la s\u00e9curit\u00e9 des donn\u00e9es en ce qu\u2019un tel dispositif engendre un risque de d\u00e9chiffrement sans difficult\u00e9 en un temps tr\u00e8s court.<\/p>\n<p>En fin, la formation restreinte de la Cnil rel\u00e8ve qu\u2019un compte commun \u00e0 quatre salari\u00e9s de Brico Priv\u00e9 leur permettait d\u2019acc\u00e9der \u00e0 la base de production, ce qui est une pratique contraire au principe d\u2019attribution d\u2019un identifiant unique par utilisateur et \u00e0 l\u2019interdiction des comptes partag\u00e9s, de telles <strong>r\u00e8gles de gestion des habilitations \u00e9tant des pr\u00e9cautions indispensables<\/strong> pour assurer la tra\u00e7abilit\u00e9 effective des acc\u00e8s aux donn\u00e9es.<\/p>\n<p>&nbsp;<\/p>\n<h2><strong>Manquement aux obligations relatives \u00e0 l\u2019utilisation de cookies<\/strong><\/h2>\n<p>Au cours de son contr\u00f4le en ligne, la formation restreinte de la Cnil constate que <strong>de nombreux cookies ayant pour finalit\u00e9s d\u2019avoir une meilleure connaissance des clients, un meilleur ciblage publicitaire et de personnaliser les offres et op\u00e9rations promotionnelles sont d\u00e9pos\u00e9s automatiquement<\/strong> lors de l\u2019arriv\u00e9e des internautes sur le site internet de Brico Priv\u00e9, avant toute action de l\u2019utilisateur, sans avoir recueilli pr\u00e9alablement leur consentement \u00e0 cette fin, une telle pratique n\u2019\u00e9tant pas conforme aux exigences de l\u2019article 82 de la loi Informatique et libert\u00e9s.<\/p>\n<p>&nbsp;<\/p>\n<h2><strong>Manquement relatif \u00e0 l\u2019obligation de recueillir le consentement de la personne concern\u00e9e pour la r\u00e9alisation d\u2019op\u00e9rations de prospection directe au moyen de courriers \u00e9lectroniques<\/strong><\/h2>\n<p>Pour m\u00e9moire, l\u2019article L.34-5 du CPCE interdit <strong>par principe la r\u00e9alisation d\u2019op\u00e9rations de prospection par courriers \u00e9lectroniques sans avoir recueilli au pr\u00e9alable le consentement de la personne concern\u00e9e<\/strong>.<\/p>\n<p>Il existe toutefois des exceptions \u00e0 ce principe, notamment <strong>l\u2019exception dite des \u00ab produits et services<\/strong> <strong>analogues \u00bb<\/strong>, aux termes de laquelle la prospection directe par courrier \u00e9lectronique est autoris\u00e9e, sans recueil pr\u00e9alable de consentement, lorsque les conditions suivantes sont cumulativement r\u00e9unies\u00a0:<\/p>\n<ul>\n<li>les coordonn\u00e9es de la personne concern\u00e9e ont \u00e9t\u00e9 recueillies directement aupr\u00e8s d\u2019elle, \u00e0 l\u2019occasion d\u2019une vente ou d\u2019une prestation de services ;<\/li>\n<li>la prospection directe concerne des produits ou services analogues fournis par la m\u00eame personne physique ou morale que celle \u00e0 l\u2019origine de la collecte des donn\u00e9es ;<\/li>\n<li>le destinataire se voit offrir, de mani\u00e8re expresse et d\u00e9nu\u00e9e d\u2019ambigu\u00eft\u00e9, la possibilit\u00e9 de s\u2019opposer, sans frais, hormis ceux li\u00e9s \u00e0 la transmission du refus, et de mani\u00e8re simple, \u00e0 l\u2019utilisation de ses coordonn\u00e9es lorsque celles-ci sont recueillies et chaque fois qu\u2019un courrier \u00e9lectronique de prospection lui est adress\u00e9.<\/li>\n<\/ul>\n<p>Pour en savoir plus sur les r\u00e8gles applicables en mati\u00e8re de prospection commerciale, voir <a href=\"https:\/\/www.agilit.law\/droit-technologie-et-informations-donnees-personnelles\/prospection-commerciale-directe\/\" target=\"_blank\" rel=\"noopener\">notre pr\u00e9c\u00e9dent article \u00e0 ce sujet<\/a>.<\/p>\n<p>En l\u2019esp\u00e8ce, la Cnil avait constat\u00e9 que, lors de la cr\u00e9ation d\u2019un compte sans acte d\u2019achat sur le site web de Brico Priv\u00e9, aucun proc\u00e9d\u00e9 visant \u00e0 recueillir le consentement \u00e0 la collecte et au traitement des donn\u00e9es \u00e0 caract\u00e8re personnel \u00e0 des fins de prospection commerciale par courrier \u00e9lectronique n\u2019\u00e9tait mis en \u0153uvre. A cet \u00e9gard, la formation restreinte de la Cnil souligne que \u00ab\u00a0<strong><em>la cr\u00e9ation d\u2019un compte ne pr\u00e9juge pas de la commande \u00e9ventuelle de produits aupr\u00e8s de la soci\u00e9t\u00e9 BRICO PRIV\u00c9<\/em><\/strong>\u00a0\u00bb, ce dont il r\u00e9sulte qu\u2019<strong>en l\u2019absence d\u2019achat, l\u2019internaute qui cr\u00e9e son compte en ligne demeure un prospect et ne peut \u00eatre sollicit\u00e9 par courrier \u00e9lectronique que s\u2019il y a d\u00fbment consenti<\/strong>.<\/p>\n<p>Pour pallier cette non-conformit\u00e9, Brico Priv\u00e9 a int\u00e9gr\u00e9 une case \u00e0 cocher d\u00e9di\u00e9e afin de recueillir le consentement des internautes qui viendraient d\u00e9sormais cr\u00e9er un compte en ligne sur le site internet de Brico Priv\u00e9.<\/p>\n<p>Pour les internautes disposant d\u00e9j\u00e0 d\u2019un compte en ligne mais n\u2019ayant pas proc\u00e9d\u00e9 \u00e0 un achat, Brico Priv\u00e9 a indiqu\u00e9 \u00e0 la Cnil qu\u2019elle souhaitait adresser \u00e0 chaque prospect n\u2019ayant pas encore donn\u00e9 son consentement cinq courriels visant \u00e0 obtenir leur accord \u00e0 recevoir de la prospection par voie \u00e9lectronique. Ces cinq courriels seraient envoy\u00e9s au cours d\u2019une p\u00e9riode de 100 jours \u00e0 compter de la date de derni\u00e8re activit\u00e9 du prospect et, en l\u2019absence d\u2019activit\u00e9 de la part du prospect et sans consentement de ce dernier \u00e0 recevoir de la prospection commerciale \u00e0 la suite des cinq courriels qu\u2019elle lui aura adress\u00e9s, elle cessera de le prospecter.<\/p>\n<p>S\u2019agissant de telles pratiques, la formation restreinte de la Cnil consid\u00e8re que \u00ab\u00a0<strong><em>le fait de solliciter les personnes en question pour leur demander si elles souhaitent recevoir des courriels de prospection constitue en soi un traitement qui ne saurait reposer, en l\u2019esp\u00e8ce, que sur un \u00e9ventuel int\u00e9r\u00eat l\u00e9gitime de la soci\u00e9t\u00e9<\/em><\/strong>\u00a0\u00bb. En effet, la formation de jugement de la Cnil estime que les prospects, en choisissant de cr\u00e9er un compte sur le site internet de Brico Priv\u00e9, ont manifest\u00e9 un certain int\u00e9r\u00eat pour les services propos\u00e9s par cette derni\u00e8re et que, d\u00e8s lors, ils pouvaient raisonnablement s\u2019attendre \u00e0 ce que la soci\u00e9t\u00e9 les contacte. Elle consid\u00e8re cependant que <strong>l\u2019envoi aux prospects de cinq courriels, a fortiori au cours d\u2019une p\u00e9riode de 100 jours, exc\u00e8de le nombre de courriels auxquels pourraient raisonnablement s\u2019attendre ces derniers<\/strong>.<\/p>\n<p>&nbsp;<\/p>\n<p style=\"text-align: center;\">*\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 *<\/p>\n<p style=\"text-align: center;\">*<\/p>\n<p>&nbsp;<\/p>\n<p>En l\u2019esp\u00e8ce, la formation de jugement de la Cnil a prononc\u00e9 les sanctions suivantes \u00e0 l\u2019\u00e9gard de Brico Priv\u00e9 en raison des manquements pr\u00e9cit\u00e9s\u00a0:<\/p>\n<ul>\n<li>une <strong>amende administrative d\u2019un montant de 500 000<\/strong> euros, qui se d\u00e9compose comme suit :\n<ul>\n<li>300 000 euros\u00a0pour les manquements aux articles 5-1-e),\u00a013, 17 et 32 du RGPD (cf. manquements relev\u00e9s dans le cadre de la coop\u00e9ration entre les autorit\u00e9s de contr\u00f4le europ\u00e9enne)\u00a0;<\/li>\n<li>200 000 euros\u00a0pour les manquements \u00e0 l\u2019article 82 de la loi Informatique et libert\u00e9s et \u00e0 l\u2019article\u00a0L. 34-5 du CPCE (cf. manquements relevant du droit fran\u00e7ais et donc de la comp\u00e9tence exclusive de la Cnil) ;<\/li>\n<\/ul>\n<\/li>\n<li><strong>une injonction de mettre en conformit\u00e9 le traitement de donn\u00e9es \u00e0 caract\u00e8re personnel\u00a0<\/strong>pour lequel des irr\u00e9gularit\u00e9s demeurent, en d\u00e9ployant certaines mesures sp\u00e9cifiques (purger des donn\u00e9es de clients, cesser d\u2019adresser de la prospection par courrier \u00e9lectronique \u00e0 des prospects n\u2019y ayant pas consenti,\u2026), \u00e9tant pr\u00e9cis\u00e9 que\u00a0<strong>cette injonction est assortie d\u2019une astreinte de 500 euros par jour de retard<\/strong>\u00a0\u00e0 l\u2019issue d\u2019un d\u00e9lai de trois mois suivant la notification de la d\u00e9lib\u00e9ration de la formation restreinte de la Cnil, les justificatifs de la mise en conformit\u00e9 devant \u00eatre adress\u00e9s \u00e0 la cette derni\u00e8re dans ce d\u00e9lai.<\/li>\n<\/ul>\n<p>Les sanctions prononc\u00e9es par la Cnil dans cette affaire ne sont pas n\u00e9gligeables, et ce d\u2019autant que la formation restreinte de la Cnil rel\u00e8ve<strong> que\u00a0nombre d\u2019actions correctrices avaient d\u2019ores et d\u00e9j\u00e0 \u00e9t\u00e9 d\u00e9ploy\u00e9es\u00a0par Brico Priv\u00e9 en cours de proc\u00e9dure<\/strong>, permettant de corriger en partie les manquements relev\u00e9s par la Cnil dans son rapport de sanction.<\/p>\n<p>Cette d\u00e9cision est susceptible de faire l\u2019objet d\u2019un recours devant le Conseil d\u2019\u00c9tat dans un d\u00e9lai de deux mois \u00e0 compter de sa notification.<\/p>\n<p>&nbsp;<\/p>\n<p>&nbsp;<\/p>\n<p><em>AGIL\u2019IT se tient \u00e0 votre disposition pour vous accompagner dans le cadre de la mise et\/ou du maintien en conformit\u00e9 de vos pratiques au regard de la r\u00e8glementation applicable en mati\u00e8re de protection des donn\u00e9es \u00e0 caract\u00e8re personnel et en mati\u00e8re de cookies et autres traceurs.<\/em><\/p>\n<p>&nbsp;<\/p>\n<p>&nbsp;<\/p>\n<p>Par\u00a0<a href=\"https:\/\/www.agilit.law\/\" target=\"_blank\" rel=\"noopener\">AGIL\u2019IT<\/a>\u00a0\u2013 P\u00f4le\u00a0<a href=\"https:\/\/www.agilit.law\/expertises\/technologies-de-linformation-donnees-personnelles\/\" target=\"_blank\" rel=\"noopener\">IT<\/a>,\u00a0<a href=\"https:\/\/www.agilit.law\/expertises\/donnees-a-caractere-personnel\/\" target=\"_blank\" rel=\"noopener\">Data protection<\/a>\u00a0&amp;\u00a0<a href=\"https:\/\/www.agilit.law\/expertises\/telecommunications\/\" target=\"_blank\" rel=\"noopener\">T\u00e9l\u00e9coms<\/a><\/p>\n<p><a href=\"https:\/\/www.agilit.law\/cabinet\/equipe\/laure-landes-gronowski\/\" target=\"_blank\" rel=\"noopener\">Laure LANDES-GRONOWSKI<\/a>, Avocate associ\u00e9e<\/p>\n<p><a href=\"https:\/\/www.agilit.law\/cabinet\/equipe\/marie-miliotis\/\" target=\"_blank\" rel=\"noopener\">Marie MILIOTIS<\/a>, Avocate<\/p>\n<p>&nbsp;<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Dans le cadre de contr\u00f4les successifs depuis 2018 aupr\u00e8s de la soci\u00e9t\u00e9 Brico Priv\u00e9, \u00e9ditrice du site internet bricoprive.com, la Commission Nationale de l\u2019Informatique et des Libert\u00e9s (dite \u00ab Cnil \u00bb) a relev\u00e9 plusieurs manquements \u00e0 la r\u00e8glementation applicable en mati\u00e8re de protection des donn\u00e9es \u00e0 caract\u00e8re personnel s\u2019agissant des traitements de donn\u00e9es relatives aux&hellip;<\/p>\n","protected":false},"author":4,"featured_media":9293,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[150,73],"tags":[],"coauthors":[94,113],"yoast_head":"<!-- This site is optimized with the Yoast SEO plugin v21.3 - https:\/\/yoast.com\/wordpress\/plugins\/seo\/ -->\n<title>Condamnation de Brico Priv\u00e9 par la Cnil \u00e0 une amende de 500\u00a0000 euros pour divers manquements \u00e0 la r\u00e8glementation \u00ab\u00a0donn\u00e9es \u00e0 caract\u00e8re personnel\u00a0\u00bb - AGIL&#039;IT<\/title>\n<meta name=\"description\" content=\"Sites e-commerce : la sanction de Brico Priv\u00e9 par la Cnil est une illustration des manquements pouvant \u00eatre s\u00e9v\u00e8rement sanctionn\u00e9s !\" \/>\n<meta name=\"robots\" content=\"index, follow, max-snippet:-1, max-image-preview:large, max-video-preview:-1\" \/>\n<link rel=\"canonical\" href=\"https:\/\/www.agilit.law\/en\/donnees-caractere-personnel\/condamnation-de-brico-prive-par-la-cnil-a-une-amende-de-500-000-euros-pour-divers-manquements-a-la-reglementation-donnees-a-caractere-personnel\/\" \/>\n<meta property=\"og:locale\" content=\"en_US\" \/>\n<meta property=\"og:type\" content=\"article\" \/>\n<meta property=\"og:title\" content=\"Condamnation de Brico Priv\u00e9 par la Cnil \u00e0 une amende de 500\u00a0000 euros pour divers manquements \u00e0 la r\u00e8glementation \u00ab\u00a0donn\u00e9es \u00e0 caract\u00e8re personnel\u00a0\u00bb - AGIL&#039;IT\" \/>\n<meta property=\"og:description\" content=\"Sites e-commerce : la sanction de Brico Priv\u00e9 par la Cnil est une illustration des manquements pouvant \u00eatre s\u00e9v\u00e8rement sanctionn\u00e9s !\" \/>\n<meta property=\"og:url\" content=\"https:\/\/www.agilit.law\/en\/donnees-caractere-personnel\/condamnation-de-brico-prive-par-la-cnil-a-une-amende-de-500-000-euros-pour-divers-manquements-a-la-reglementation-donnees-a-caractere-personnel\/\" \/>\n<meta property=\"og:site_name\" content=\"AGIL&#039;IT\" \/>\n<meta property=\"article:published_time\" content=\"2021-06-25T06:46:36+00:00\" \/>\n<meta property=\"article:modified_time\" content=\"2021-10-26T22:10:44+00:00\" \/>\n<meta property=\"og:image\" content=\"https:\/\/www.agilit.law\/wp-content\/uploads\/2021\/03\/shutterstock_564441181.jpg\" \/>\n\t<meta property=\"og:image:width\" content=\"1500\" \/>\n\t<meta property=\"og:image:height\" content=\"813\" \/>\n\t<meta property=\"og:image:type\" content=\"image\/jpeg\" \/>\n<meta name=\"author\" content=\"Laure Landes-Gronowski, Marie Miliotis\" \/>\n<meta name=\"twitter:card\" content=\"summary_large_image\" \/>\n<meta name=\"twitter:label1\" content=\"Written by\" \/>\n\t<meta name=\"twitter:data1\" content=\"Laure Landes-Gronowski, Marie Miliotis\" \/>\n\t<meta name=\"twitter:label2\" content=\"Est. reading time\" \/>\n\t<meta name=\"twitter:data2\" content=\"12 minutes\" \/>\n<script type=\"application\/ld+json\" class=\"yoast-schema-graph\">{\"@context\":\"https:\/\/schema.org\",\"@graph\":[{\"@type\":\"WebPage\",\"@id\":\"https:\/\/www.agilit.law\/en\/donnees-caractere-personnel\/condamnation-de-brico-prive-par-la-cnil-a-une-amende-de-500-000-euros-pour-divers-manquements-a-la-reglementation-donnees-a-caractere-personnel\/\",\"url\":\"https:\/\/www.agilit.law\/en\/donnees-caractere-personnel\/condamnation-de-brico-prive-par-la-cnil-a-une-amende-de-500-000-euros-pour-divers-manquements-a-la-reglementation-donnees-a-caractere-personnel\/\",\"name\":\"Condamnation de Brico Priv\u00e9 par la Cnil \u00e0 une amende de 500\u00a0000 euros pour divers manquements \u00e0 la r\u00e8glementation \u00ab\u00a0donn\u00e9es \u00e0 caract\u00e8re personnel\u00a0\u00bb - AGIL&#039;IT\",\"isPartOf\":{\"@id\":\"https:\/\/www.agilit.law\/#website\"},\"datePublished\":\"2021-06-25T06:46:36+00:00\",\"dateModified\":\"2021-10-26T22:10:44+00:00\",\"author\":{\"@id\":\"https:\/\/www.agilit.law\/#\/schema\/person\/f8eb00f4d6ec1b0f2b71fed18a09cd6a\"},\"description\":\"Sites e-commerce : la sanction de Brico Priv\u00e9 par la Cnil est une illustration des manquements pouvant \u00eatre s\u00e9v\u00e8rement sanctionn\u00e9s !\",\"breadcrumb\":{\"@id\":\"https:\/\/www.agilit.law\/en\/donnees-caractere-personnel\/condamnation-de-brico-prive-par-la-cnil-a-une-amende-de-500-000-euros-pour-divers-manquements-a-la-reglementation-donnees-a-caractere-personnel\/#breadcrumb\"},\"inLanguage\":\"en-US\",\"potentialAction\":[{\"@type\":\"ReadAction\",\"target\":[\"https:\/\/www.agilit.law\/en\/donnees-caractere-personnel\/condamnation-de-brico-prive-par-la-cnil-a-une-amende-de-500-000-euros-pour-divers-manquements-a-la-reglementation-donnees-a-caractere-personnel\/\"]}]},{\"@type\":\"BreadcrumbList\",\"@id\":\"https:\/\/www.agilit.law\/en\/donnees-caractere-personnel\/condamnation-de-brico-prive-par-la-cnil-a-une-amende-de-500-000-euros-pour-divers-manquements-a-la-reglementation-donnees-a-caractere-personnel\/#breadcrumb\",\"itemListElement\":[{\"@type\":\"ListItem\",\"position\":1,\"name\":\"Accueil\",\"item\":\"https:\/\/www.agilit.law\/en\/\"},{\"@type\":\"ListItem\",\"position\":2,\"name\":\"Condamnation de Brico Priv\u00e9 par la Cnil \u00e0 une amende de 500\u00a0000 euros pour divers manquements \u00e0 la r\u00e8glementation \u00ab\u00a0donn\u00e9es \u00e0 caract\u00e8re personnel\u00a0\u00bb\"}]},{\"@type\":\"WebSite\",\"@id\":\"https:\/\/www.agilit.law\/#website\",\"url\":\"https:\/\/www.agilit.law\/\",\"name\":\"AGIL&#039;IT\",\"description\":\"Make things simple\",\"potentialAction\":[{\"@type\":\"SearchAction\",\"target\":{\"@type\":\"EntryPoint\",\"urlTemplate\":\"https:\/\/www.agilit.law\/?s={search_term_string}\"},\"query-input\":\"required name=search_term_string\"}],\"inLanguage\":\"en-US\"},{\"@type\":\"Person\",\"@id\":\"https:\/\/www.agilit.law\/#\/schema\/person\/f8eb00f4d6ec1b0f2b71fed18a09cd6a\",\"name\":\"Laure Landes-Gronowski\",\"image\":{\"@type\":\"ImageObject\",\"inLanguage\":\"en-US\",\"@id\":\"https:\/\/www.agilit.law\/#\/schema\/person\/image\/28fdc5034409b7339d9cfb1c7e67a42c\",\"url\":\"https:\/\/secure.gravatar.com\/avatar\/13eb25dedfd6848dcbcfda1a74be2ff1?s=96&d=mm&r=g\",\"contentUrl\":\"https:\/\/secure.gravatar.com\/avatar\/13eb25dedfd6848dcbcfda1a74be2ff1?s=96&d=mm&r=g\",\"caption\":\"Laure Landes-Gronowski\"},\"url\":\"https:\/\/www.agilit.law\/en\/author\/laure\/\"}]}<\/script>\n<!-- \/ Yoast SEO plugin. -->","yoast_head_json":{"title":"Condamnation de Brico Priv\u00e9 par la Cnil \u00e0 une amende de 500\u00a0000 euros pour divers manquements \u00e0 la r\u00e8glementation \u00ab\u00a0donn\u00e9es \u00e0 caract\u00e8re personnel\u00a0\u00bb - AGIL&#039;IT","description":"Sites e-commerce : la sanction de Brico Priv\u00e9 par la Cnil est une illustration des manquements pouvant \u00eatre s\u00e9v\u00e8rement sanctionn\u00e9s !","robots":{"index":"index","follow":"follow","max-snippet":"max-snippet:-1","max-image-preview":"max-image-preview:large","max-video-preview":"max-video-preview:-1"},"canonical":"https:\/\/www.agilit.law\/en\/donnees-caractere-personnel\/condamnation-de-brico-prive-par-la-cnil-a-une-amende-de-500-000-euros-pour-divers-manquements-a-la-reglementation-donnees-a-caractere-personnel\/","og_locale":"en_US","og_type":"article","og_title":"Condamnation de Brico Priv\u00e9 par la Cnil \u00e0 une amende de 500\u00a0000 euros pour divers manquements \u00e0 la r\u00e8glementation \u00ab\u00a0donn\u00e9es \u00e0 caract\u00e8re personnel\u00a0\u00bb - AGIL&#039;IT","og_description":"Sites e-commerce : la sanction de Brico Priv\u00e9 par la Cnil est une illustration des manquements pouvant \u00eatre s\u00e9v\u00e8rement sanctionn\u00e9s !","og_url":"https:\/\/www.agilit.law\/en\/donnees-caractere-personnel\/condamnation-de-brico-prive-par-la-cnil-a-une-amende-de-500-000-euros-pour-divers-manquements-a-la-reglementation-donnees-a-caractere-personnel\/","og_site_name":"AGIL&#039;IT","article_published_time":"2021-06-25T06:46:36+00:00","article_modified_time":"2021-10-26T22:10:44+00:00","og_image":[{"width":1500,"height":813,"url":"https:\/\/www.agilit.law\/wp-content\/uploads\/2021\/03\/shutterstock_564441181.jpg","type":"image\/jpeg"}],"author":"Laure Landes-Gronowski, Marie Miliotis","twitter_card":"summary_large_image","twitter_misc":{"Written by":"Laure Landes-Gronowski, Marie Miliotis","Est. reading time":"12 minutes"},"schema":{"@context":"https:\/\/schema.org","@graph":[{"@type":"WebPage","@id":"https:\/\/www.agilit.law\/en\/donnees-caractere-personnel\/condamnation-de-brico-prive-par-la-cnil-a-une-amende-de-500-000-euros-pour-divers-manquements-a-la-reglementation-donnees-a-caractere-personnel\/","url":"https:\/\/www.agilit.law\/en\/donnees-caractere-personnel\/condamnation-de-brico-prive-par-la-cnil-a-une-amende-de-500-000-euros-pour-divers-manquements-a-la-reglementation-donnees-a-caractere-personnel\/","name":"Condamnation de Brico Priv\u00e9 par la Cnil \u00e0 une amende de 500\u00a0000 euros pour divers manquements \u00e0 la r\u00e8glementation \u00ab\u00a0donn\u00e9es \u00e0 caract\u00e8re personnel\u00a0\u00bb - AGIL&#039;IT","isPartOf":{"@id":"https:\/\/www.agilit.law\/#website"},"datePublished":"2021-06-25T06:46:36+00:00","dateModified":"2021-10-26T22:10:44+00:00","author":{"@id":"https:\/\/www.agilit.law\/#\/schema\/person\/f8eb00f4d6ec1b0f2b71fed18a09cd6a"},"description":"Sites e-commerce : la sanction de Brico Priv\u00e9 par la Cnil est une illustration des manquements pouvant \u00eatre s\u00e9v\u00e8rement sanctionn\u00e9s !","breadcrumb":{"@id":"https:\/\/www.agilit.law\/en\/donnees-caractere-personnel\/condamnation-de-brico-prive-par-la-cnil-a-une-amende-de-500-000-euros-pour-divers-manquements-a-la-reglementation-donnees-a-caractere-personnel\/#breadcrumb"},"inLanguage":"en-US","potentialAction":[{"@type":"ReadAction","target":["https:\/\/www.agilit.law\/en\/donnees-caractere-personnel\/condamnation-de-brico-prive-par-la-cnil-a-une-amende-de-500-000-euros-pour-divers-manquements-a-la-reglementation-donnees-a-caractere-personnel\/"]}]},{"@type":"BreadcrumbList","@id":"https:\/\/www.agilit.law\/en\/donnees-caractere-personnel\/condamnation-de-brico-prive-par-la-cnil-a-une-amende-de-500-000-euros-pour-divers-manquements-a-la-reglementation-donnees-a-caractere-personnel\/#breadcrumb","itemListElement":[{"@type":"ListItem","position":1,"name":"Accueil","item":"https:\/\/www.agilit.law\/en\/"},{"@type":"ListItem","position":2,"name":"Condamnation de Brico Priv\u00e9 par la Cnil \u00e0 une amende de 500\u00a0000 euros pour divers manquements \u00e0 la r\u00e8glementation \u00ab\u00a0donn\u00e9es \u00e0 caract\u00e8re personnel\u00a0\u00bb"}]},{"@type":"WebSite","@id":"https:\/\/www.agilit.law\/#website","url":"https:\/\/www.agilit.law\/","name":"AGIL&#039;IT","description":"Make things simple","potentialAction":[{"@type":"SearchAction","target":{"@type":"EntryPoint","urlTemplate":"https:\/\/www.agilit.law\/?s={search_term_string}"},"query-input":"required name=search_term_string"}],"inLanguage":"en-US"},{"@type":"Person","@id":"https:\/\/www.agilit.law\/#\/schema\/person\/f8eb00f4d6ec1b0f2b71fed18a09cd6a","name":"Laure Landes-Gronowski","image":{"@type":"ImageObject","inLanguage":"en-US","@id":"https:\/\/www.agilit.law\/#\/schema\/person\/image\/28fdc5034409b7339d9cfb1c7e67a42c","url":"https:\/\/secure.gravatar.com\/avatar\/13eb25dedfd6848dcbcfda1a74be2ff1?s=96&d=mm&r=g","contentUrl":"https:\/\/secure.gravatar.com\/avatar\/13eb25dedfd6848dcbcfda1a74be2ff1?s=96&d=mm&r=g","caption":"Laure Landes-Gronowski"},"url":"https:\/\/www.agilit.law\/en\/author\/laure\/"}]}},"_links":{"self":[{"href":"https:\/\/www.agilit.law\/en\/wp-json\/wp\/v2\/posts\/10432"}],"collection":[{"href":"https:\/\/www.agilit.law\/en\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.agilit.law\/en\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.agilit.law\/en\/wp-json\/wp\/v2\/users\/4"}],"replies":[{"embeddable":true,"href":"https:\/\/www.agilit.law\/en\/wp-json\/wp\/v2\/comments?post=10432"}],"version-history":[{"count":4,"href":"https:\/\/www.agilit.law\/en\/wp-json\/wp\/v2\/posts\/10432\/revisions"}],"predecessor-version":[{"id":10435,"href":"https:\/\/www.agilit.law\/en\/wp-json\/wp\/v2\/posts\/10432\/revisions\/10435"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.agilit.law\/en\/wp-json\/wp\/v2\/media\/9293"}],"wp:attachment":[{"href":"https:\/\/www.agilit.law\/en\/wp-json\/wp\/v2\/media?parent=10432"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.agilit.law\/en\/wp-json\/wp\/v2\/categories?post=10432"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.agilit.law\/en\/wp-json\/wp\/v2\/tags?post=10432"},{"taxonomy":"author","embeddable":true,"href":"https:\/\/www.agilit.law\/en\/wp-json\/wp\/v2\/coauthors?post=10432"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}