Saisie de plusieurs plaintes \u00e0 l\u2019encontre d\u2019EDF portant sur l\u2019exercice des droits entre ao\u00fbt 2019 et d\u00e9cembre 2020, la Commission nationale de l’informatique et des libert\u00e9s (cf. la \u00ab\u00a0Cnil\u00a0\u00bb) a diligent\u00e9 des contr\u00f4les en ligne et sur pi\u00e8ces aupr\u00e8s d\u2019EDF.<\/p>\n
Un rapport de sanction a \u00e9t\u00e9 notifi\u00e9 \u00e0 EDF par la rapporteure d\u00e9sign\u00e9e par la Cnil et proposait \u00e0 la formation restreinte de la Cnil de sanctionner EDF au titre de divers manquements \u00e0 la r\u00e9glementation applicable en mati\u00e8re de donn\u00e9es \u00e0 caract\u00e8re personnel.<\/p>\n
Par une d\u00e9lib\u00e9ration rendue le 24 novembre 2022<\/a> (voir \u00e9galement le communiqu\u00e9 de la Cnil sur cette d\u00e9cision<\/a>), la formation restreinte de la Cnil a condamn\u00e9 EDF \u00e0 une amende administrative de 600 000 \u20ac au titre des diff\u00e9rents manquements pr\u00e9sent\u00e9s ci-apr\u00e8s.<\/p>\n <\/p>\n \u00a0<\/strong>La Cnil rel\u00e8ve que :<\/p>\n De telles pratiques constituent un manquement aux principes applicables en la mati\u00e8re vis\u00e9s \u00e0 l\u2019article L.34-5 du Code des postes et des communications \u00e9lectroniques <\/strong>(cet article imposant par principe le recueil pr\u00e9alable du consentement des destinataires de prospections par courrier \u00e9lectronique) et \u00e0 l\u2019article 7 du RGPD<\/strong> (cet article pr\u00e9voyant notamment que \u00ab\u00a0Dans les cas o\u00f9 le traitement repose sur le consentement, le responsable du traitement est en mesure de d\u00e9montrer que la personne concern\u00e9e a donn\u00e9 son consentement au traitement de donn\u00e9es \u00e0 caract\u00e8re personnel la concernant\u00a0<\/em>\u00bb).<\/p>\n <\/p>\n Ce qu\u2019il faut en retenir\u00a0: <\/u><\/strong><\/p>\n La pr\u00e9sente d\u00e9cision de la Cnil s\u2019inscrit dans le programme de contr\u00f4le qu\u2019elle avait annonc\u00e9 pour 2022<\/a><\/strong>, la prospection commerciale faisant partie des th\u00e9matiques consid\u00e9r\u00e9es comme \u00ab\u00a0prioritaires\u00a0\u00bb pour la Cnil.<\/p>\n En outre, la position de la Cnil sur la d\u00e9monstration du recueil pr\u00e9alable du consentement des personnes concern\u00e9es \u00e0 la r\u00e9alisation d\u2019op\u00e9rations de prospection par courrier \u00e9lectronique est classique. En effet, l\u2019insertion d\u2019une clause \u00ab\u00a0fournisseur de fichiers \u00bb dans les documents contractuels est recommand\u00e9e en cas de collecte des donn\u00e9es par l’interm\u00e9diaire d’un tiers, notamment un courtier en donn\u00e9es (ou data broker)<\/strong>. Pour m\u00e9moire, une telle clause vise \u00e0 permettre au destinataire des fichiers de s\u2019assurer aupr\u00e8s du tiers \u00ab fournisseur de fichiers \u00bb (et de se faire garantir contractuellement par ce dernier) que (i) la collecte des donn\u00e9es \u00e0 caract\u00e8re personnel concern\u00e9es a \u00e9t\u00e9 effectu\u00e9e de mani\u00e8re loyale et licite (information des personnes concern\u00e9es, voire consentement le cas \u00e9ch\u00e9ant en fonction des utilisations envisag\u00e9es et des situations particuli\u00e8res pouvant \u00eatre rencontr\u00e9es, etc.) et que (ii) les donn\u00e9es peuvent \u00eatre licitement r\u00e9utilis\u00e9es par le destinataire des fichiers pour les finalit\u00e9s souhait\u00e9es (voir notre pr\u00e9c\u00e9dent article \u00e0 ce sujet<\/a>).<\/p>\n Pour autant, s\u2019il s\u2019agit d\u2019une pr\u00e9caution opportune, elle ne suffit pas \u00e0 d\u00e9montrer que le consentement \u00e0 la transmission des donn\u00e9es \u00e0 un tiers et \u00e0 la r\u00e9alisation d\u2019op\u00e9rations de prospection par courrier \u00e9lectronique par ce tiers a \u00e9t\u00e9 d\u00fbment obtenu aupr\u00e8s des personnes concern\u00e9es<\/strong>. En effet, l\u2019organisme destinataire des donn\u00e9es et souhaitant proc\u00e9der \u00e0 de telles op\u00e9rations de prospection doit alors \u00eatre en mesure de prouver qu\u2019il dispose de ce consentement.<\/p>\n Pour m\u00e9moire, pour que le consentement soit \u00e9clair\u00e9, les personnes concern\u00e9es doivent notamment \u00eatre clairement inform\u00e9es de l\u2019identit\u00e9 des organismes destinataires des donn\u00e9es pour le compte duquel le consentement est collect\u00e9 et des finalit\u00e9s pour lesquelles les donn\u00e9es seront utilis\u00e9es<\/strong>. Pour ce faire, la Cnil rappelle qu\u2019 \u00ab\u00a0une liste exhaustive et mise \u00e0 jour doit \u00eatre tenue \u00e0 la disposition des personnes au moment du recueil de leur consentement, par exemple directement sur le support de collecte ou, si celle-ci est trop longue, via un lien hypertexte renvoyant vers ladite liste et les politiques de confidentialit\u00e9\u00a0\u00bb <\/em>des destinataires des donn\u00e9es.<\/p>\n La Cnil rappelle \u00e9galement que tout organisme souhaitant r\u00e9utiliser des donn\u00e9es collect\u00e9es par des tiers (en l\u2019esp\u00e8ce des courtiers en donn\u00e9es) pour de telles finalit\u00e9s doivent mettre en place des mesures et process d\u00e9di\u00e9s pour s\u2019assurer que le consentement des personnes concern\u00e9es a effectivement \u00e9t\u00e9 obtenu<\/strong>, conform\u00e9ment aux exigences applicables (notamment au moyen d\u2019audits), et pouvoir le d\u00e9montrer, ce qui n\u2019\u00e9tait pas le cas en l\u2019esp\u00e8ce.<\/p>\n <\/p>\n La Cnil constate que la \u00ab\u00a0charte de protection des donn\u00e9es personnelles\u00a0\u00bb qui figurait sur le site internet d\u2019EDF \u00e9tait incompl\u00e8te en ce qu\u2019elle ne comportait pas, pour chaque traitement de donn\u00e9es \u00e0 caract\u00e8re personnel mis en \u0153uvre par EDF, la base l\u00e9gale correspondant \u00e0 chaque finalit\u00e9 ainsi \u00e9num\u00e9r\u00e9e ou encore les dur\u00e9es de conservation des donn\u00e9es.<\/p>\n Elle rel\u00e8ve \u00e9galement que cette charte ne concernait en tout \u00e9tat de cause pas les traitements mis en \u0153uvre par EDF dans le cadre de ses op\u00e9rations de prospection. Les personnes concern\u00e9es ainsi sollicit\u00e9es par EDF dont les donn\u00e9es avaient \u00e9t\u00e9 collect\u00e9es par des tiers (cf. courtiers en donn\u00e9es) \u00e9taient tout de m\u00eame inform\u00e9es du traitement de leurs donn\u00e9es \u00e0 caract\u00e8re personnel dans le premier courrier de prospection commerciale qui leur \u00e9tait adress\u00e9 par EDF. Toutefois, ce courrier pr\u00e9cisait les donn\u00e9es avaient \u00e9t\u00e9 collect\u00e9es aupr\u00e8s d\u2019un \u00ab organisme sp\u00e9cialis\u00e9 dans l\u2019enrichissement de donn\u00e9es \u00bb, ce qui a \u00e9t\u00e9 consid\u00e9r\u00e9 comme insuffisamment pr\u00e9cis par la Cnil et n\u2019\u00e9tant \u00ab pas de nature \u00e0 “garantir un traitement \u00e9quitable et transparent” \u00e0 l\u2019\u00e9gard du prospect, en particulier dans un contexte de reventes successives de donn\u00e9es entre de multiples acteurs et dans l\u2019hypoth\u00e8se o\u00f9 le prospect souhaiterait exercer ses droits aupr\u00e8s du courtier en donn\u00e9es dont il ignore l\u2019identit\u00e9<\/em>\u00a0\u00bb.<\/p>\n <\/p>\n Ce qu\u2019il faut en retenir\u00a0: <\/u><\/strong><\/p>\n Une information compl\u00e8te doit \u00eatre fournie aux personnes concern\u00e9es<\/strong>, comportant l\u2019ensemble des \u00e9l\u00e9ments pr\u00e9vus \u00e0 l\u2019article 13 du RGPD lorsque les donn\u00e9es ont \u00e9t\u00e9 collect\u00e9es directement aupr\u00e8s des personnes concern\u00e9es et \u00e0 l\u2019article 14 du RGPD en cas de collecte indirecte. Notamment, pour chaque finalit\u00e9 de traitement, il convient de mentionner l\u2019ensemble des caract\u00e9ristiques y aff\u00e9rentes (finalit\u00e9, dur\u00e9e de conservation,\u2026) et, en cas de collecte indirecte, en particulier en cas de \u00ab\u00a0reventes successives\u00a0\u00bb de fichiers comportant des donn\u00e9es \u00e0 caract\u00e8re personnel, il convient de faire preuve de pr\u00e9cisions quant \u00e0 l\u2019origine de la collecte<\/strong>.<\/p>\n <\/p>\n EDF a \u00e9t\u00e9 saisie par deux plaignants concernant le traitement de leurs donn\u00e9es \u00e0 caract\u00e8re personnel par cette derni\u00e8re. S\u2019agissant de la premi\u00e8re r\u00e9clamation en particulier, la Cnil rel\u00e8ve qu\u2019EDF n\u2019y a pas r\u00e9pondu par \u00e9crit et que sa r\u00e9ponse \u00e9tait erron\u00e9e. S\u2019agissant ces deux r\u00e9clamations, la Cnil constate qu\u2019EDF n\u2019a pas trait\u00e9 ces demandes d\u2019exercice de droits dans le d\u00e9lai requis (cf. en principe dans un d\u00e9lai maximum d\u2019un mois \u00e0 compter de la r\u00e9ception de la demande, ce d\u00e9lai pouvant \u00eatre prolong\u00e9 de deux mois, compte tenu de la complexit\u00e9 et du nombre de demandes). La Cnil estime ainsi qu’un manquement \u00e0 l\u2019article 12 du RGPD est constitu\u00e9.<\/p>\n En outre, la Cnil rel\u00e8ve qu\u2019EDF a r\u00e9pondu de mani\u00e8re erron\u00e9e \u00e0 une personne ayant exerc\u00e9 son droit d\u2019acc\u00e8s, en apportant une information erron\u00e9e s\u2019agissant de la source de collecte de ses donn\u00e9es, ce qui constitue un manquant \u00e0 l\u2019article 15 du RGPD.<\/p>\n La Cnil consid\u00e8re \u00e9galement qu\u2019en ne tenant pas compte d\u2019une demande d\u2019opposition effectu\u00e9e par le parent d\u2019un enfant mineur, EDF a manqu\u00e9 \u00e0 ses obligations au titre de l\u2019article 21 du RGPD.<\/p>\n <\/p>\n Ce qu\u2019il faut en retenir\u00a0:<\/u><\/strong><\/p>\n En cas de plainte \u00e9manant de personnes concern\u00e9es, il convient de leur r\u00e9pondre par \u00e9crit et dans les d\u00e9lais impartis.<\/p>\n En outre, il convient d\u2019\u00e9laborer et de d\u00e9ployer une proc\u00e9dure d\u00e9di\u00e9e relative au traitement des demandes d\u2019exercice de leurs droits par les personnes concern\u00e9es et de s\u2019assurer que celle-ci est effectivement respect\u00e9e<\/strong> (en s\u2019assurant notamment qu\u2019il a effectivement \u00e9t\u00e9 tenu compte de la demande de la personne concern\u00e9e, par exemple en cas d\u2019opposition \u00e0 la r\u00e9ception ult\u00e9rieure de messages de prospection).<\/p>\n <\/p>\n Il est, enfin, reproch\u00e9 \u00e0 EDF de ne pas avoir mis en \u0153uvre les mesures n\u00e9cessaires pour assurer la s\u00e9curit\u00e9 des donn\u00e9es \u00e0 caract\u00e8re personnel, et en particulier de ne pas respecter les exigences applicables en mati\u00e8re de mots de passe.<\/p>\n En l\u2019esp\u00e8ce, s\u2019agissant des mots de passe du portail \u00ab\u00a0prime \u00e9nergie\u00a0\u00bb d\u2019EDF, la Cnil rel\u00e8ve que la fonction de hachage MD5 a \u00e9t\u00e9 utilis\u00e9e jusqu\u2019en 2022 pour plus de 25 800 comptes, alors qu\u2019elle est consid\u00e9r\u00e9e depuis 2004 comme obsol\u00e8te et non conforme aux recommandations des autorit\u00e9s comp\u00e9tentes en la mati\u00e8re (qu\u2019il s\u2019agisse des recommandations de la Cnil ou de l\u2019Anssi). La Cnil rappelle ainsi qu\u2019il est \u00ab\u00a0n\u00e9cessaire de veiller \u00e0 ce qu\u2019un mot de passe permettant de s\u2019authentifier sur un syst\u00e8me ne puisse pas \u00eatre divulgu\u00e9. La conservation des mots de passe de mani\u00e8re s\u00e9curis\u00e9e constitue une pr\u00e9caution \u00e9l\u00e9mentaire en mati\u00e8re de protection des donn\u00e9es \u00e0 caract\u00e8re personnel<\/em>\u00a0\u00bb.<\/p>\n Par ailleurs, s\u2019agissant des mots de passe permettant d\u2019acc\u00e9der \u00e0 l\u2019espace client EDF, la Cnil rel\u00e8ve qu\u2019ils \u00e9taient stock\u00e9s sous forme hach\u00e9e et sal\u00e9e au moyen de la fonction SHA-1, pourtant r\u00e9put\u00e9e obsol\u00e8te, et qu\u2019il n\u2019\u00e9tait pas syst\u00e9matiquement utilis\u00e9 un \u00ab sel \u00bb dans la transformation des mots de passe, ce qui constitue \u00e9galement un manquement aux exigences applicables en mati\u00e8re de s\u00e9curit\u00e9 des donn\u00e9es \u00e0 caract\u00e8re personnel.<\/p>\n <\/p>\n Ce qu\u2019il faut retenir\u00a0: <\/u><\/strong><\/p>\n La fonction de hachage (fonction cryptographique visant \u00e0 assurer la s\u00e9curit\u00e9 des donn\u00e9es \u2013 pour en savoir plus, voir la page de la Cnil pr\u00e9sentant les grands principes de la cryptologie et du chiffrement<\/a>) utilis\u00e9e doit r\u00e9pondre aux exigences de l’\u00e9tat de l’art, \u00eatre robuste et permettre une conservation s\u00e9curis\u00e9e des mots de passe.<\/p>\n <\/p>\n *\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 *<\/p>\n *<\/p>\n <\/p>\n A l\u2019issue de ce raisonnement, la formation restreinte prononce, \u00e0 l\u2019encontre d\u2019EDF, une amende administrative d\u2019un montant de 600\u00a0000 euros au titre de ces divers manquements et d\u00e9cide de rendre publique sa d\u00e9cision.<\/p>\n La sanction prononc\u00e9e par la Cnil dans cette affaire n’est pas n\u00e9gligeable, et ce d\u2019autant que la formation restreinte de la Cnil rel\u00e8ve qu\u2019il n\u2019y a pas lieu de prononcer d\u2019injonction dans la mesure o\u00f9 EDF a pris des mesures de mise en conformit\u00e9 s\u2019agissant de l\u2019ensemble des manquements relev\u00e9s par la rapporteure.<\/p>\n <\/p>\n Cette d\u00e9cision est susceptible de faire l\u2019objet d\u2019un recours devant le Conseil d\u2019\u00c9tat dans un d\u00e9lai de deux mois \u00e0 compter de sa notification.<\/p>\n <\/p>\n <\/p>\n <\/p>\n AGIL\u2019IT se tient \u00e0 votre disposition pour vous accompagner dans le cadre de la mise et\/ou du maintien en conformit\u00e9 de vos pratiques au regard de la r\u00e8glementation applicable en mati\u00e8re de protection des donn\u00e9es \u00e0 caract\u00e8re personnel ou encore en mati\u00e8re de prospection.<\/em><\/p>\n <\/p>\n <\/p>\n Par\u00a0AGIL\u2019IT<\/a>\u00a0\u2013\u00a0P\u00f4le\u00a0IT<\/a>\u00a0&\u00a0Data protection<\/a><\/p>\nManquements relatifs \u00e0 l\u2019obligation de recueillir le consentement de la personne concern\u00e9e au traitement de ses donn\u00e9es \u00e0 des fins de prospection commerciale par courrier \u00e9lectronique<\/u><\/strong><\/h3>\n
\n
Manquements relatifs \u00e0 l\u2019obligation d\u2019information des personnes concern\u00e9es<\/u><\/strong><\/h3>\n
Manquements relatifs \u00e0 l\u2019obligation de respecter les droits des personnes concern\u00e9es<\/u><\/strong><\/h3>\n
Manquements relatifs \u00e0 la s\u00e9curit\u00e9 des donn\u00e9es \u00e0 caract\u00e8re personnel<\/u><\/strong><\/h3>\n