Saisie de six plaintes entre d\u00e9cembre 2018 et septembre 2019, la Cnil a diligent\u00e9 des contr\u00f4les en ligne et au sein des locaux de la soci\u00e9t\u00e9 Accor, de mars 2019 \u00e0 f\u00e9vrier 2020.<\/p>\n
Suite \u00e0 ces contr\u00f4les, la rapporteure d\u00e9sign\u00e9e par la Commission proposait \u00e0 la formation restreinte de la Cnil, dans un rapport de sanction, de condamner la soci\u00e9t\u00e9 Accor \u00e0 une amende administrative et de rendre publique la d\u00e9cision pronon\u00e7ant la sanction.<\/p>\n
Par une d\u00e9lib\u00e9ration rendue le 3 ao\u00fbt 2022<\/a> (voir \u00e9galement le communiqu\u00e9 de la Cnil<\/a> sur cette d\u00e9cision), la formation restreinte de la Cnil a condamn\u00e9 la soci\u00e9t\u00e9 Accor au titre des diff\u00e9rents manquements pr\u00e9sent\u00e9s ci-apr\u00e8s.<\/p>\n <\/p>\n La formation restreinte de la Cnil rel\u00e8ve que lorsqu\u2019une personne proc\u00e9dait \u00e0 la r\u00e9servation d\u2019une chambre, en ligne ou directement aupr\u00e8s du personnel d\u2019un h\u00f4tel du groupe Accor, elle devenait automatiquement destinataire des courriels de diffusion de la newsletter, la case relative au consentement \u00e0 recevoir la newsletter \u00e9tant pr\u00e9-coch\u00e9e par d\u00e9faut.<\/p>\n Il a, par ailleurs, \u00e9t\u00e9 constat\u00e9 que la m\u00eame case \u00e9tait \u00e9galement pr\u00e9-coch\u00e9e par d\u00e9faut lors de la cr\u00e9ation d\u2019un espace client sur le site de la soci\u00e9t\u00e9 Accor, rendant ainsi le \u00ab\u00a0potentiel\u00a0\u00bb client destinataire par d\u00e9faut des courriels de prospection commerciale du groupe, sans m\u00eame qu\u2019ait \u00e9t\u00e9 r\u00e9alis\u00e9e une r\u00e9servation au sein d\u2019un h\u00f4tel.<\/p>\n La formation restreinte de la Cnil rappelle qu\u2019il est possible, pour l\u2019\u00e9metteur de courriels de prospection commerciale, de les adresser \u00e0 un destinataire qui n\u2019y aurait pas consenti, \u00e0 condition de remplir les trois conditions suivantes\u00a0:<\/p>\n – les donn\u00e9es collect\u00e9es l\u2019ont \u00e9t\u00e9 aupr\u00e8s de la personne concern\u00e9e dans le respect des dispositions de la loi n\u00b0 78-17 du 6 janvier 1978 relative \u00e0 l’informatique, aux fichiers et aux libert\u00e9s\u00a0;<\/p>\n – \u00e0 l\u2019occasion d\u2019une vente ou d\u2019une prestation de services\u00a0;<\/p>\n – la prospection concerne des produits et services analogues fournis par la m\u00eame personne physique ou morale que celle ayant vendu un bien ou fourni une prestation de services \u00e0 la personne concern\u00e9e.<\/p>\n Or, la formation restreinte de la Cnil rel\u00e8ve, d\u2019une part, que la cr\u00e9ation d\u2019un espace client peut intervenir sans qu\u2019une r\u00e9servation soit effectu\u00e9e et donc sans que l\u2019utilisateur ayant cr\u00e9\u00e9 le compte devienne client d\u2019une prestation de services r\u00e9alis\u00e9e par la soci\u00e9t\u00e9, ce dont il r\u00e9sulte que l\u2019exception au recueil du consentement ne pouvait pas \u00eatre valablement invoqu\u00e9e<\/strong> dans une telle situation.<\/p>\n Elle constate, d\u2019autre part, que les messages de prospection commerciale re\u00e7us par les plaignants ne portent pas exclusivement sur des produits ou services analogues fournis par la soci\u00e9t\u00e9 Accor mais sont susceptibles de contenir des offres promotionnelles propos\u00e9es par des partenaires commerciaux du groupe, ce dont il r\u00e9sulte que le consentement des personnes concern\u00e9es \u00e0 recevoir la newsletter de la soci\u00e9t\u00e9 aurait d\u00fb \u00eatre recueilli<\/strong>, m\u00eame lorsque les destinataires sont effectivement des clients ayant d\u00e9j\u00e0 effectu\u00e9 une r\u00e9servation.<\/p>\n La formation restreinte de la Cnil en conclut que, le consentement des personnes concern\u00e9es ayant \u00e9t\u00e9 recueilli par d\u00e9faut dans l\u2019ensemble de ces situations, il ne pouvait \u00eatre consid\u00e9r\u00e9 comme valable, ce dont il r\u00e9sulte que la soci\u00e9t\u00e9 Accor avait manqu\u00e9 \u00e0 son obligation de recueillir le consentement des destinataires des courriels de prospection commerciale.<\/p>\n <\/p>\n La formation restreinte constate que l\u2019information devant \u00eatre fournie aux personnes concern\u00e9es par le traitement de leurs donn\u00e9es \u00e0 caract\u00e8re personnel \u00e9tait difficilement accessible lors de la cr\u00e9ation d\u2019un espace client en ligne, ou lors de l\u2019adh\u00e9sion au programme de fid\u00e9lit\u00e9 du groupe Accor.<\/p>\n Elle rappelle, en particulier, que la personne concern\u00e9e ne doit pas avoir \u00e0 rechercher les informations mais doit imm\u00e9diatement pouvoir y acc\u00e9der<\/strong>.<\/p>\n Or, la charte de protection des donn\u00e9es personnelles de la soci\u00e9t\u00e9 Accor n\u2019\u00e9tait accessible qu\u2019\u00e0 condition de faire d\u00e9filer l\u2019int\u00e9gralit\u00e9 de la page sur laquelle \u00e9tait pr\u00e9sent l\u2019internaute, et de cliquer sur le lien hypertexte pr\u00e9sent\u00e9 au bas de la page.<\/p>\n La formation restreinte de la Cnil estime \u00e9galement que \u00ab\u00a0l\u2019int\u00e9r\u00eat l\u00e9gitime\u00a0\u00bb ou \u00ab\u00a0l\u2019ex\u00e9cution du contrat\u00a0\u00bb mentionn\u00e9s dans la charte de protection des donn\u00e9es personnelles comme bases juridiques du traitement de donn\u00e9es \u00e0 caract\u00e8re personnel ayant pour finalit\u00e9 l\u2019envoi de prospections commerciales ne pouvaient permettre l\u2019envoi des messages de prospection commerciale, et que la base juridique du traitement ainsi mis en \u0153uvre devait \u00eatre le \u00ab\u00a0consentement\u00a0\u00bb, que la soci\u00e9t\u00e9 ne pouvait se dispenser de recueillir.<\/p>\n Par cons\u00e9quent, la formation restreinte rel\u00e8ve qu\u2019en ne rendant sa charte de protection des donn\u00e9es personnelles que difficilement accessible en ligne, et en n\u2019y mentionnant pas le consentement comme base juridique du traitement pour la prospection tendant \u00e0 promouvoir les produits ou services de tiers, la soci\u00e9t\u00e9 Accor a manqu\u00e9 \u00e0 son obligation d\u2019informer les personnes concern\u00e9es conform\u00e9ment au RGPD.<\/p>\n <\/p>\n La Cnil constate que la soci\u00e9t\u00e9 Accor n\u2019a pas fait droit, avant le 24 f\u00e9vrier 2020, \u00e0 la demande de droit d\u2019acc\u00e8s \u00e0 ses donn\u00e9es formul\u00e9e par une plaignante le 1er<\/sup> ao\u00fbt 2019.<\/p>\n Suite \u00e0 la d\u00e9tection d\u2019une connexion frauduleuse \u00e0 son compte client, le compte de la cliente avait fait l\u2019objet d\u2019une suspension. Elle avait alors justifi\u00e9 de son identit\u00e9 le 10 janvier 2020, permettant ainsi la r\u00e9ouverture de son compte client. Toutefois, aucune r\u00e9ponse n\u2019avait \u00e9t\u00e9 apport\u00e9e \u00e0 sa demande de droit d\u2019acc\u00e8s par la soci\u00e9t\u00e9 Accor dans le d\u00e9lai maximum d\u2019un mois imparti par le RGPD.<\/p>\n Forte de ces constatations, la formation restreinte consid\u00e8re, que dans l\u2019hypoth\u00e8se o\u00f9 le compte d\u2019un client a fait l\u2019objet d\u2019une d\u00e9tection de connexion frauduleuse, la soci\u00e9t\u00e9 peut avoir un doute raisonnable sur l\u2019identit\u00e9 du demandeur souhaitant exercer son droit d\u2019acc\u00e8s, justifiant qu\u2019une pi\u00e8ce d\u2019identit\u00e9 soit sollicit\u00e9e aupr\u00e8s de la personne concern\u00e9e.<\/strong> Elle ajoute toutefois que, d\u00e8s lors que le doute est lev\u00e9 sur l\u2019identit\u00e9 de la personne, la demande de droit d\u2019acc\u00e8s doit \u00eatre honor\u00e9e<\/strong> par le responsable du traitement.<\/p>\n Elle caract\u00e9rise ainsi un manquement de la soci\u00e9t\u00e9 Accor \u00e0 l\u2019obligation de faire droit \u00e0 la demande de la plaignante visant \u00e0 exercer son droit d\u2019acc\u00e8s \u00e0 ses donn\u00e9es \u00e0 caract\u00e8re personnel.<\/p>\n <\/p>\n La Cnil rel\u00e8ve le dysfonctionnement, pendant plusieurs semaines, du lien de d\u00e9sinscription accessible au bas des courriels de prospection commerciale<\/strong> adress\u00e9s par la soci\u00e9t\u00e9 Accor.<\/p>\n Elle constate que cette anomalie a emp\u00each\u00e9 un nombre significatif de personnes de s\u2019opposer \u00e0 la r\u00e9ception des messages de prospection envoy\u00e9s par la soci\u00e9t\u00e9.<\/p>\n Or, plusieurs millions de personnes recevaient au moins l\u2019une des newsletters du groupe sur une adresse \u00e9lectronique valide.<\/p>\n La formation restreinte constate donc la m\u00e9connaissance par la soci\u00e9t\u00e9 Accor de ses obligations au titre des dispositions relatives au droit d\u2019opposition des personnes concern\u00e9es \u00e0 la prospection notamment commerciale.<\/p>\n <\/p>\n Il est, enfin, reproch\u00e9 \u00e0 la soci\u00e9t\u00e9 Accor de ne pas avoir mis en \u0153uvre les mesures n\u00e9cessaires \u00e0 la s\u00e9curit\u00e9 des donn\u00e9es \u00e0 caract\u00e8re personnel des clients et prospects du groupe.<\/p>\n En effet, lors de son contr\u00f4le, la Cnil a pu constater que seul un mot de passe faiblement s\u00e9curis\u00e9 (cf. mot de passe compos\u00e9 de huit caract\u00e8res contenant seulement deux types de caract\u00e8res, sept lettres majuscules et un caract\u00e8re sp\u00e9cial, en contradiction avec les recommandations de la Cnil et de l\u2019Agence nationale de la s\u00e9curit\u00e9 des syst\u00e8mes d\u2019information -ou ANSSI) permettait d\u2019acc\u00e9der \u00e0 l\u2019outil de gestion par lequel \u00e9taient envoy\u00e9es les communications \u00e9lectroniques. Le risque de compromission des donn\u00e9es personnelles contenues dans l\u2019outil de gestion \u00e9tait donc \u00e9lev\u00e9<\/strong>.<\/p>\n Par ailleurs, la formation restreinte rel\u00e8ve que la demande de transmission par simple courrier \u00e9lectronique de la copie de sa pi\u00e8ce d\u2019identit\u00e9 \u00e0 une personne concern\u00e9e par une suspicion de connexion frauduleuse \u00e0 son compte g\u00e9n\u00e8re un risque s\u00e9v\u00e8re pour la confidentialit\u00e9 des donn\u00e9es non chiffr\u00e9es transmises.<\/p>\n Elle rappelle que le chiffrement des donn\u00e9es avant leur transmission par courrier \u00e9lectronique est une pr\u00e9caution \u00e9l\u00e9mentaire devant \u00eatre prise pour assurer la s\u00e9curit\u00e9 des donn\u00e9es.<\/p>\n Au regard de l\u2019ensemble de ces \u00e9l\u00e9ments, la formation restreinte consid\u00e8re donc que les faits pr\u00e9cit\u00e9s sont constitutifs d\u2019un manquement par la soci\u00e9t\u00e9 Accor \u00e0 son obligation de s\u00e9curit\u00e9 des donn\u00e9es \u00e0 caract\u00e8re personnel qu\u2019elle traite.<\/p>\n <\/p>\n *\u00a0 \u00a0 \u00a0 \u00a0 *<\/p>\n *<\/p>\n <\/p>\n A l\u2019issue de ce raisonnement, la formation restreinte prononce, \u00e0 l\u2019encontre de la soci\u00e9t\u00e9 Accor, une amende administrative d\u2019un montant de 600\u00a0000 euros au titre de ces divers manquements.<\/p>\n Il est int\u00e9ressant de constater que la formation restreinte de la Cnil, chef de file des investigations au niveau europ\u00e9en suite \u00e0 l\u2019intervention d\u2019autres autorit\u00e9s de contr\u00f4le europ\u00e9ennes dans la proc\u00e9dure, a \u00e9t\u00e9 contrainte de revoir \u00e0 la hausse l\u2019amende qu\u2019elle avait initialement pr\u00e9vue de prononcer \u00e0 l\u2019encontre du groupe Accor afin de satisfaire au crit\u00e8re d\u2019effet dissuasif des sanctions pr\u00e9vu par le RGPD.<\/p>\n Cette sanction, d\u2019un montant non n\u00e9gligeable, l\u2019est d\u2019autant plus que de nombreuses mesures correctrices avaient \u00e9t\u00e9 d\u00e9ploy\u00e9es par la soci\u00e9t\u00e9 et permettaient de corriger l\u2019ensemble des manquements relev\u00e9s dans le rapport de sanction \u00e9tabli pr\u00e9alablement \u00e0 la d\u00e9lib\u00e9ration de la formation restreinte.<\/strong><\/p>\n La formation restreinte souligne d\u2019ailleurs cette mise en conformit\u00e9 dans l\u2019\u00e9valuation qu\u2019elle r\u00e9alise du montant de l\u2019amende, ainsi que la pleine coop\u00e9ration de la soci\u00e9t\u00e9 Accor avec la Cnil.<\/p>\n Cette d\u00e9cision peut faire l\u2019objet d\u2019un recours devant le Conseil d\u2019Etat dans un d\u00e9lai de deux mois \u00e0 compter de sa notification.<\/p>\n <\/p>\n *\u00a0 \u00a0 \u00a0 \u00a0 *<\/p>\n *<\/p>\n <\/p>\n Plan d\u2019actions<\/strong><\/p>\n Cette d\u00e9cision doit \u00eatre l\u2019occasion pour les entreprises de faire le point sur leurs pratiques en mati\u00e8re de traitements de donn\u00e9es \u00e0 caract\u00e8re personnel des clients et prospects afin de d\u00e9ployer, le cas \u00e9ch\u00e9ant, les mesures correctrices n\u00e9cessaires, et notamment de\u00a0:<\/p>\n – v\u00e9rifier si les op\u00e9rations de prospection commerciale qu\u2019elles mettent en \u0153uvre sont soumises au recueil pr\u00e9alable du consentement des personnes concern\u00e9es<\/strong> et, dans l\u2019affirmative, s\u2019assurer qu\u2019un tel consentement est valablement recueilli (et en particulier qu\u2019il n\u2019est pas recueilli \u00ab\u00a0par d\u00e9faut\u00a0\u00bb)\u00a0;<\/p>\n – v\u00e9rifier que les mentions d\u2019informations et politiques de protection des donn\u00e9es publi\u00e9es sur les diff\u00e9rents supports du responsable de traitement, notamment sur son site internet, sont conformes<\/strong> \u00e0 la r\u00e8glementation applicable en mati\u00e8re de protection des donn\u00e9es \u00e0 caract\u00e8re personnel s\u2019agissant en particulier de leur contenu et qu\u2019elles sont, notamment, ais\u00e9ment accessibles \u00e0 la personne concern\u00e9e\u00a0;<\/p>\n – s\u2019assurer que les proc\u00e9dures et mesures techniques appropri\u00e9es sont d\u00e9finies et impl\u00e9ment\u00e9es en pratique<\/strong> afin de r\u00e9pondre et de faire droit, dans les conditions, modalit\u00e9s, formes et d\u00e9lais impartis par les textes, aux demandes des personnes concern\u00e9es visant \u00e0 exercer leurs droits (ex\u00a0: droit d\u2019acc\u00e8s, droit d\u2019opposition, droit \u00e0 l\u2019effacement,\u2026) s\u2019agissant de leurs donn\u00e9es \u00e0 caract\u00e8re personnel\u00a0;<\/p>\n – v\u00e9rifier que les mesures techniques et organisationnelles appropri\u00e9es pour assurer la s\u00e9curit\u00e9 des donn\u00e9es<\/strong> (tant s\u2019agissant de la conservation des donn\u00e9es que de leur transmission ou de l\u2019acc\u00e8s auxdites donn\u00e9es) sont effectivement d\u00e9ploy\u00e9es (cf. voir notamment les recommandations de la Cnil et de l\u2019ANSSI).<\/p>\n <\/p>\n AGIL\u2019IT se tient bien entendu \u00e0 votre disposition pour vous accompagner dans le cadre de la mise et\/ou du maintien en conformit\u00e9 de vos pratiques au regard de la r\u00e8glementation applicable en mati\u00e8re de protection des donn\u00e9es \u00e0 caract\u00e8re personnel.<\/em><\/p>\n <\/p>\n Par\u00a0AGIL\u2019IT<\/a>\u00a0\u2013 P\u00f4le\u00a0IT<\/a>,\u00a0Data protection<\/a>\u00a0&\u00a0T\u00e9l\u00e9coms<\/a><\/p>\nMANQUEMENTS RELATIFS A L\u2019OBLIGATION DE RECUEILLIR LE CONSENTEMENT DE LA PERSONNE CONCERNEE AU TRAITEMENT DE SES DONNEES A DES FINS DE PROSPECTION COMMERCIALE<\/u><\/strong><\/h2>\n
MANQUEMENTS RELATIFS A L\u2019OBLIGATION D\u2019INFORMATION DES PERSONNES CONCERNEES<\/u><\/strong><\/h2>\n
MANQUEMENTS RELATIFS A L\u2019OBLIGATION DE RESPECTER LE DROIT D\u2019ACCES DES PERSONNES AUX DONNEES LES CONCERNANT<\/u><\/strong><\/h2>\n
MANQUEMENTS RELATIFS A L\u2019OBLIGATION DE RESPECTER LE DROIT D\u2019OPPOSITION DES PERSONNES<\/u><\/strong><\/h2>\n
MANQUEMENTS RELATIFS A L\u2019OBLIGATION DE SECURITE DES DONNEES A CARACTERE PERSONNEL<\/u><\/strong><\/h2>\n