{"id":8179,"date":"2020-08-10T09:38:08","date_gmt":"2020-08-10T07:38:08","guid":{"rendered":"https:\/\/www.agilit.law\/?p=8179"},"modified":"2021-10-27T00:22:45","modified_gmt":"2021-10-26T22:22:45","slug":"sanction-de-la-formation-restreinte-de-la-cnil-a-lencontre-de-spartoo-amende-administrative-de-250-000-euros-et-injonction-sous-astreinte-de-se-conformer-au-rgpd","status":"publish","type":"post","link":"https:\/\/www.agilit.law\/en\/donnees-caractere-personnel\/sanction-de-la-formation-restreinte-de-la-cnil-a-lencontre-de-spartoo-amende-administrative-de-250-000-euros-et-injonction-sous-astreinte-de-se-conformer-au-rgpd\/","title":{"rendered":"Sanction de la formation restreinte de la Cnil \u00e0 l&#8217;encontre de Spartoo : amende administrative de 250 000 euros et injonction sous astreinte de se conformer au RGPD"},"content":{"rendered":"<p>L\u2019entreprise fran\u00e7aise Spartoo de vente de chaussures en ligne a \u00e9t\u00e9 sanctionn\u00e9e par la formation restreinte de la Cnil, \u00e0 l\u2019occasion d\u2019une <a href=\"https:\/\/www.legifrance.gouv.fr\/affichCnil.do?oldAction=rechExpCnil&amp;id=CNILTEXT000042203965&amp;fastReqId=655302508&amp;fastPos=1\">d\u00e9lib\u00e9ration en date du 28 juillet 2020<\/a>, pour plusieurs manquements \u00e0 la r\u00e9glementation en mati\u00e8re de donn\u00e9es \u00e0 caract\u00e8re personnel de leurs clients et prospects.<\/p>\n<p>En effet, en 2018, la Cnil avait proc\u00e9d\u00e9 \u00e0 une mission de contr\u00f4le dans les locaux de la soci\u00e9t\u00e9 Spartoo, portant sur la v\u00e9rification du respect par cette derni\u00e8re dispositions applicables en mati\u00e8re de protection des donn\u00e9es \u00e0 caract\u00e8re personnel, et plus particuli\u00e8rement s\u2019agissant des traitements de donn\u00e9es \u00e0 caract\u00e8re personnel des clients et des prospects de la soci\u00e9t\u00e9 Spartoo, ainsi que de l\u2019enregistrement des conversations t\u00e9l\u00e9phoniques entre les clients et les salari\u00e9s du service client de la soci\u00e9t\u00e9.<\/p>\n<p>Suite aux constats effectu\u00e9s lors de cette mission de v\u00e9rification, une proc\u00e9dure de sanction a \u00e9t\u00e9 enclench\u00e9e en 2019, laquelle a men\u00e9 \u00e0 la pr\u00e9sente d\u00e9cision.<\/p>\n<p>&nbsp;<\/p>\n<p style=\"text-align: center;\">*<\/p>\n<p style=\"text-align: center;\">*\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 *<\/p>\n<p>&nbsp;<\/p>\n<h2><strong>DE MULTIPLES MANQUEMENTS A LA REGLEMENTATION EN MATIERE DE PROTECTION DES DONNEES A CARACTERE PERSONNEL<\/strong><\/h2>\n<h3><strong>Le manquement \u00e0 l\u2019obligation de minimisation des donn\u00e9es (RGPD, article 5-1 c)<\/strong><\/h3>\n<p>En premier lieu, la formation restreinte de la Cnil rappelle que l\u2019article 5-1 c) du RGPD dispose que les donn\u00e9es \u00e0 caract\u00e8re personnel collect\u00e9es et trait\u00e9es doivent \u00eatre ad\u00e9quates, pertinentes et limit\u00e9es \u00e0 ce qui est n\u00e9cessaire au regard des finalit\u00e9s pour lesquelles elles sont trait\u00e9es (cf. principe de minimisation des donn\u00e9es).<\/p>\n<p>Elle rel\u00e8ve ensuite que\u00a0:<\/p>\n<ul>\n<li>Spartoo proc\u00e9dait \u00e0 l\u2019<strong>enregistrement int\u00e9gral et permanent des conversations t\u00e9l\u00e9phoniques<\/strong> des salari\u00e9s du service client \u00ab\u00a0<em>sans que ceux-ci aient la possibilit\u00e9 de s\u2019y opposer<\/em>\u00bb, et ce de mani\u00e8re non n\u00e9cessairement justifi\u00e9\u00a0;<\/li>\n<li>un tel enregistrement impliquait n\u00e9cessairement l\u2019<strong>enregistrement des coordonn\u00e9es bancaires des clients<\/strong> passant commande par t\u00e9l\u00e9phone, donn\u00e9es \u00ab\u00a0<em>qui compte tenu de leur nature et des risques de fraude associ\u00e9s doivent faire l\u2019objet d\u2019une protection renforc\u00e9e de la part des responsables de traitement<\/em>\u00bb.<\/li>\n<\/ul>\n<p>La formation restreinte en conclut que la soci\u00e9t\u00e9 Spartoo enregistrait et conservait des donn\u00e9es dont elle n\u2019avait aucun usage au regard de la finalit\u00e9 poursuivie par le traitement en cause, \u00e0 savoir la formation des salari\u00e9s, et consid\u00e8re donc, au vu de ces \u00e9l\u00e9ments, qu\u2019un manquement \u00e0 l\u2019article 5-1-c) du RGPD est constitu\u00e9.<\/p>\n<p>La formation restreinte de la Cnil ajoute que\u00a0:<\/p>\n<ul>\n<li>Spartoo collectait, en Italie, dans le cadre de la lutte contre la fraude, la <strong>copie de la carte de sant\u00e9<\/strong> (\u00a0<em>tessera sanitaria<\/em>) et de la carte d\u2019identit\u00e9 en cours de validit\u00e9, alors que \u00ab\u00a0<em>seule la collecte de la carte d\u2019identit\u00e9 \u00e9tait pertinente au regard de la finalit\u00e9 du traitement mis en \u0153uvre<\/em>\u00a0\u00bb.<\/li>\n<\/ul>\n<p>Elle en conclut l\u00e0 encore qu\u2019un manquement \u00e0 l\u2019article 5-1-c) du RGPD est constitu\u00e9.<\/p>\n<p>&nbsp;<\/p>\n<h3><strong>Le manquement \u00e0 l\u2019obligation de limitation de la dur\u00e9e de conservation des donn\u00e9es (RGPD article 5-1 e)<\/strong><\/h3>\n<p>En deuxi\u00e8me lieu, la formation restreinte de la Cnil rappelle que l\u2019article 5-1 e) du RGPD dispose que les donn\u00e9es \u00e0 caract\u00e8re personnel doivent \u00eatre \u00ab\u00a0<em>conserv\u00e9es sous une forme permettant l&#8217;identification des personnes concern\u00e9es pendant une dur\u00e9e n&#8217;exc\u00e9dant pas celle n\u00e9cessaire au regard des finalit\u00e9s pour lesquelles elles sont trait\u00e9es\u00a0\u00bb.<\/em><\/p>\n<p>Elle rel\u00e8ve ensuite que\u00a0:<\/p>\n<ul>\n<li>Spartoo conservait les donn\u00e9es des clients et prospects pour une <strong>dur\u00e9e excessive<\/strong> au regard des finalit\u00e9s poursuivies\u00a0;<\/li>\n<li>le point de <strong>d\u00e9part de la dur\u00e9e de conservation<\/strong> des donn\u00e9es recommen\u00e7ait \u00e0 courir \u00e0 chaque ouverture d\u2019un email de prospection par la personne destinataire, alors que la simple ouverture d\u2019un courriel de prospection par une personne ne peut pas \u00eatre consid\u00e9r\u00e9e comme un contact \u00e9manant du destinataire de ce courriel\u00a0;<\/li>\n<li>\u00e0 l\u2019expiration de la dur\u00e9e de conservation, les donn\u00e9es des clients n\u2019\u00e9taient pas toutes supprim\u00e9es mais que l\u2019adresse email et le mot de passe des clients \u00e9taient conserv\u00e9es, sans qu\u2019une limitation de dur\u00e9e ait \u00e9t\u00e9 d\u00e9termin\u00e9e, apr\u00e8s avoir \u00e9t\u00e9 hach\u00e9es par l\u2019utilisation de <strong>l\u2019algorithme SHA-256<\/strong>; or la formation restreinte rappelle que cette fonction de hachage permettant d\u2019assurer l\u2019int\u00e9grit\u00e9 des donn\u00e9es personnelles trait\u00e9es par la soci\u00e9t\u00e9, et que s\u2019il s\u2019agit, \u00e0 ce jour, d\u2019une <strong>fonction qui ne peut \u00eatre invers\u00e9e et est donc consid\u00e9r\u00e9e par l\u2019Agence nationale de s\u00e9curit\u00e9 des syst\u00e8mes d\u2019information (ANSSI) et la CNIL comme garantissant un niveau de s\u00e9curit\u00e9 suffisant des donn\u00e9es, celle-ci permet juste de pseudonymiser, et pas d\u2019anonymiser<\/strong>, les donn\u00e9es et donc ne permet pas de justifier leur conservation de mani\u00e8re ind\u00e9finie par un responsable de traitement.<\/li>\n<\/ul>\n<p>La formation restreinte consid\u00e8re donc que la soci\u00e9t\u00e9 a, l\u00e0 encore, m\u00e9connu les dispositions de l\u2019article 5-1 e) du RGPD.<\/p>\n<p>&nbsp;<\/p>\n<h3><strong>Le manquement \u00e0 l\u2019obligation d\u2019information des personnes concern\u00e9es (RGPD, art. 13)<\/strong><\/h3>\n<p>En troisi\u00e8me lieu, la formation restreinte de la Cnil rappelle que \u00ab\u00a0<em>l\u2019article 13 du RGPD exige du responsable de traitement qu\u2019il fournisse, au moment o\u00f9 les donn\u00e9es sont collect\u00e9es, les informations relatives \u00e0 son identit\u00e9 et ses coordonn\u00e9es, celles du d\u00e9l\u00e9gu\u00e9 \u00e0 la protection des donn\u00e9es, les finalit\u00e9s du traitement et sa base juridique, les destinataires des donn\u00e9es \u00e0 caract\u00e8re personnel, le cas \u00e9ch\u00e9ant les transferts de donn\u00e9es \u00e0 caract\u00e8re personnel, la dur\u00e9e de conservation des donn\u00e9es \u00e0 caract\u00e8re personnel, les droits dont b\u00e9n\u00e9ficient les personnes ainsi que le droit d\u2019introduire une r\u00e9clamation aupr\u00e8s d\u2019une autorit\u00e9 de contr\u00f4le<\/em>.\u00a0\u00bb<\/p>\n<p>Elle pr\u00e9cise alors s\u2019agissant des <strong>donn\u00e9es des clients<\/strong> de la soci\u00e9t\u00e9 Spartoo que la politique de confidentialit\u00e9 des donn\u00e9es, disponible sur ses sites internet, n\u2019est pas compl\u00e8te, notamment en ce qu\u2019elle ne mentionne pas par exemple tous les flux transfronti\u00e8res de donn\u00e9es vers des Etats hors Union Europ\u00e9enne et qu\u2019une information granulaire relative \u00e0 la base juridique de chaque traitement devrait \u00eatre fournie pour chaque traitement mis en \u0153uvre au sein de ladite politique, ce qui n\u2019est pas le cas. La formation restreinte retient donc un manquement de Spartoo \u00e0 son obligation d\u2019information des personnes concern\u00e9es.<\/p>\n<p>En ce qui concerne les <strong>donn\u00e9es des salari\u00e9s<\/strong>, la formation restreinte de la Cnil retient que la soci\u00e9t\u00e9 a manqu\u00e9 \u00e0 son obligation d\u2019information en ne les avertissant pas de mani\u00e8re individuelle de l\u2019enregistrement de leurs conversations t\u00e9l\u00e9phoniques.<\/p>\n<p>&nbsp;<\/p>\n<h3><strong>Le manquement \u00e0 l\u2019obligation de s\u00e9curit\u00e9 des donn\u00e9es \u00e0 caract\u00e8re personnel (RGPD art. 32)<\/strong><\/h3>\n<p>En dernier lieu, la formation restreinte de la Cnil pr\u00e9cise que l\u2019article 32-1 du RGPD dispose :\u00a0\u00ab\u00a0<em>Compte tenu de l&#8217;\u00e9tat des connaissances, des co\u00fbts de mise en \u0153uvre et de la nature, de la port\u00e9e, du contexte et des finalit\u00e9s du traitement ainsi que des risques, dont le degr\u00e9 de probabilit\u00e9 et de gravit\u00e9 varie, pour les droits et libert\u00e9s des personnes physiques, le responsable du traitement et le sous-traitant mettent en \u0153uvre les mesures techniques et organisationnelles appropri\u00e9es afin de garantir un niveau de s\u00e9curit\u00e9 adapt\u00e9 au risque\u00a0<\/em>et notamment\u00a0<em>des moyens permettant de garantir la confidentialit\u00e9, l&#8217;int\u00e9grit\u00e9, la disponibilit\u00e9 et la r\u00e9silience constantes des syst\u00e8mes et des services de traitement\u00a0\u00bb.<\/em><\/p>\n<p>Puis la formation restreinte de la Cnil rel\u00e8ve que\u00a0:<\/p>\n<ul>\n<li>contrairement \u00e0 ce que soutient Spartoo, <strong>la longueur et la complexit\u00e9 d\u2019un mot de passe demeurent des crit\u00e8res \u00e9l\u00e9mentaires permettant d\u2019appr\u00e9cier la force de celui-ci<\/strong>; que pour assurer un niveau de s\u00e9curit\u00e9 suffisant et satisfaire aux exigences de robustesse des mots de passe, lorsqu\u2019une authentification repose uniquement sur un identifiant et un mot de passe, le mot de passe doit comporter au minimum douze caract\u00e8res &#8211; contenant au moins une lettre majuscule, une lettre minuscule, un chiffre et un caract\u00e8re sp\u00e9cial &#8211; ou le mot de passe doit comporter au moins huit caract\u00e8res &#8211; contenant trois de ces quatre cat\u00e9gories de caract\u00e8res &#8211; et \u00eatre accompagn\u00e9 d\u2019une mesure compl\u00e9mentaire comme par exemple la temporisation d\u2019acc\u00e8s au compte apr\u00e8s plusieurs \u00e9checs (suspension temporaire de l\u2019acc\u00e8s dont la dur\u00e9e augmente \u00e0 mesure des tentatives), la mise en place d\u2019un m\u00e9canisme permettant de se pr\u00e9munir contre les soumissions automatis\u00e9es et intensives de tentatives (ex : captcha ) et\/ou le blocage du compte apr\u00e8s plusieurs tentatives d\u2019authentification infructueuses\u00a0; que <strong>la n\u00e9cessit\u00e9 d\u2019un mot de passe fort est \u00e9galement soulign\u00e9e par l\u2019ANSSI<\/strong>, qui indique qu\u2019<em>\u00ab\u00a0un bon mot de passe est avant tout un mot de passe fort, c\u2019est \u00e0 dire difficile \u00e0 retrouver m\u00eame \u00e0 l\u2019aide d\u2019outils automatis\u00e9s. La force d\u2019un mot de passe d\u00e9pend de sa longueur et du nombre de possibilit\u00e9s existantes pour chaque caract\u00e8re le composant. En effet, un mot de passe constitu\u00e9 de minuscules, de majuscules, de caract\u00e8res sp\u00e9ciaux et de chiffres est techniquement plus difficile \u00e0 d\u00e9couvrir qu\u2019un mot de passe constitu\u00e9 uniquement de minuscules\u00a0\u00bb\u00a0;<\/em><\/li>\n<li><strong>la robustesse d\u2019un mot de passe compos\u00e9 de huit caract\u00e8res et de seulement une cat\u00e9gorie de caract\u00e8res, est tr\u00e8s faible<\/strong> et que Spartoo ne d\u00e9montre \u00e0 aucun moment en quoi un mot de passe court et simple serait susceptible de r\u00e9sister davantage \u00e0 une attaque par force brute qu\u2019un mot de passe compos\u00e9 de davantage de caract\u00e8res ainsi que plusieurs cat\u00e9gories de caract\u00e8res\u00a0;<\/li>\n<li>les <strong>mots de passe mis en place par la soci\u00e9t\u00e9 pour acc\u00e9der aux comptes cr\u00e9es sur son site web ne correspondent donc pas aux exigences requises<\/strong> en termes de robustesse.<\/li>\n<\/ul>\n<p>En outre, la formation restreinte de la Cnil ajoute que\u00a0:<\/p>\n<ul>\n<li>Spartoo demandait \u00e0 ses clients, dans le cadre de la lutte contre la fraude, de lui transmettre par mail un scan de la carte bancaire utilis\u00e9e lors de la commande et <strong>conservait les scans de cartes bancaires non occult\u00e9s, \u00ab\u00a0en clair\u00a0\u00bb, <\/strong>dans les messageries \u00e9lectroniques des salari\u00e9s ou encore dans la base de donn\u00e9es de la soci\u00e9t\u00e9.<\/li>\n<\/ul>\n<p>La formation restreinte consid\u00e8re donc que la soci\u00e9t\u00e9 n\u2019a pas mis en place des mesures de s\u00e9curit\u00e9 permettant de garantir la s\u00e9curit\u00e9 des donn\u00e9es de ses clients, et qu\u2019un manquement \u00e0 l\u2019article 32 pr\u00e9cit\u00e9 est constitu\u00e9.<\/p>\n<p>&nbsp;<\/p>\n<h2><strong>PREMIER RECOURS A LA PROCEDURE DE L\u2019ARTICLE 56 DU RGPD<\/strong><\/h2>\n<p>Au-del\u00e0 d\u2019\u00eatre une d\u00e9cision \u00ab\u00a0classique\u00a0\u00bb de sanction, cette d\u00e9lib\u00e9ration de la formation restreinte de la Cnil est \u00e9galement la premi\u00e8re d\u00e9cision lors de laquelle a \u00e9t\u00e9 mis en place la proc\u00e9dure de coop\u00e9ration entre les autorit\u00e9s europ\u00e9ennes de contr\u00f4le (RGPD, art 56), en raison de la pr\u00e9sence commerciale de cette entreprise dans treize Etats membres de l\u2019Union europ\u00e9enne.<\/p>\n<p>En effet, la particularit\u00e9 de cette d\u00e9cision r\u00e9side dans le recours pour la premi\u00e8re fois \u00e0 l\u2019article 56 pr\u00e9cit\u00e9, applicable dans le cadre d\u2019un <strong>traitement transfrontalier<\/strong> \u00e0 savoir\u00a0:<\/p>\n<ul>\n<li>\u00ab\u00a0<em>un traitement de donn\u00e9es \u00e0 caract\u00e8re personnel qui a lieu dans l&#8217;Union dans le cadre des activit\u00e9s d&#8217;\u00e9tablissements dans plusieurs \u00c9tats membres d&#8217;un responsable du traitement ou d&#8217;un sous-traitant lorsque le responsable du traitement ou le sous-traitant est \u00e9tabli dans plusieurs \u00c9tats membres\u00a0; ou<\/em><\/li>\n<li><em>un traitement de donn\u00e9es \u00e0 caract\u00e8re personnel qui a lieu dans l&#8217;Union dans le cadre des activit\u00e9s d&#8217;un \u00e9tablissement unique d&#8217;un responsable du traitement ou d&#8217;un sous-traitant, mais qui affecte sensiblement ou est susceptible d&#8217;affecter sensiblement des personnes concern\u00e9es dans plusieurs \u00c9tats membres<\/em>\u00bb.<\/li>\n<\/ul>\n<p>L\u2019article 56 du RGPD pr\u00e9cit\u00e9 dispose que dans une telle hypoth\u00e8se\u00a0: \u00ab\u00a0<em>l&#8217;autorit\u00e9 de contr\u00f4le de l&#8217;\u00e9tablissement principal ou de l&#8217;\u00e9tablissement unique du responsable du traitement ou du sous-traitant est comp\u00e9tente pour agir en tant qu&#8217;autorit\u00e9 de contr\u00f4le chef de file concernant le traitement transfrontalier effectu\u00e9 par ce responsable du traitement ou ce sous-traitant, conform\u00e9ment \u00e0 la proc\u00e9dure pr\u00e9vue \u00e0 l&#8217;article 60<\/em>\u00a0\u00bb, cet article 60 pr\u00e9cisant que la proc\u00e9dure applicable \u00e0 la coop\u00e9ration des autorit\u00e9s europ\u00e9ennes, comme suit\u00a0: \u00ab\u00a0<strong><em>L&#8217;autorit\u00e9 de contr\u00f4le chef de file coop\u00e8re avec les autres autorit\u00e9s de contr\u00f4le concern\u00e9es conform\u00e9ment au pr\u00e9sent article en s&#8217;effor\u00e7ant de parvenir \u00e0 un consensus. L&#8217;autorit\u00e9 de contr\u00f4le chef de file et les autorit\u00e9s de contr\u00f4le concern\u00e9es \u00e9changent toute information utile<\/em><\/strong><em>.<\/em>\u00a0\u00bb<\/p>\n<p>&nbsp;<\/p>\n<p>En l\u2019esp\u00e8ce, la Cnil a relev\u00e9 que le traitement mis en \u0153uvre par la soci\u00e9t\u00e9 Spartoo \u00e9tait constitutif d\u2019un traitement transfrontalier. C\u2019est pourquoi elle a coop\u00e9r\u00e9, dans le cadre de la proc\u00e9dure pr\u00e9cit\u00e9e, avec les autres autorit\u00e9s de contr\u00f4le europ\u00e9ennes en\u00a0:<\/p>\n<ul>\n<li>informant initialement l\u2019ensemble des autorit\u00e9s de contr\u00f4le europ\u00e9ennes de sa comp\u00e9tence pour agir en tant qu\u2019autorit\u00e9 de contr\u00f4le chef de file concernant le traitement transfrontalier effectu\u00e9 par la soci\u00e9t\u00e9 Spartoo et ouvrant la proc\u00e9dure pour la d\u00e9claration des autorit\u00e9s concern\u00e9es sur ce cas\u00a0;<\/li>\n<li>communiquant le projet de d\u00e9cision de la formation restreinte de la Cnil aux autres autorit\u00e9s de contr\u00f4le europ\u00e9enne concern\u00e9es\u00a0;<\/li>\n<li>tenant compte des objections motiv\u00e9es et pertinentes des autorit\u00e9s de contr\u00f4le ayant fait un retour sur ce projet de d\u00e9cision.<\/li>\n<\/ul>\n<p>&nbsp;<\/p>\n<p style=\"text-align: center;\">*\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 *<\/p>\n<p style=\"text-align: center;\">*<\/p>\n<p>&nbsp;<\/p>\n<p>La formation restreinte de la Cnil a donc\u00a0:<\/p>\n<ul>\n<li>sanctionn\u00e9 la soci\u00e9t\u00e9 Spartoo d\u2019une <strong>amende administrative \u00e0 hauteur de 250 000 euros<\/strong>;<\/li>\n<li>prononc\u00e9 \u00e0 l\u2019\u00e9gard de cette derni\u00e8re une <strong>injonction de mettre ses traitements en conformit\u00e9 avec le RGPD<\/strong> et d&#8217;en justifier sous un d\u00e9lai de trois mois \u00e0 compter de la notification de la d\u00e9lib\u00e9ration, sous peine d\u2019une astreinte d\u2019un montant de 250 euros par jour de retard\u00a0;<\/li>\n<li>ainsi qu\u2019une <strong>sanction compl\u00e9mentaire de publication<\/strong> pour une dur\u00e9e de deux ans.<\/li>\n<\/ul>\n<p>Cette d\u00e9cision est susceptible de faire l\u2019objet d\u2019un recours devant le Conseil d\u2019\u00c9tat dans un d\u00e9lai de deux mois \u00e0 compter de sa notification.<\/p>\n<p>&nbsp;<\/p>\n<p>&nbsp;<\/p>\n<p><em>Le p\u00f4le IT &amp; Data protection d\u2019Agil\u2019IT accompagne ses clients dans la mise en conformit\u00e9 de leurs traitements de donn\u00e9es \u00e0 caract\u00e8re personnel \u00e0 la r\u00e8glementation applicable.<\/em><\/p>\n<p>&nbsp;<\/p>\n<p>&nbsp;<\/p>\n<p>Par\u00a0<a href=\"https:\/\/www.agilit.law\/\">AGIL\u2019IT<\/a>\u00a0\u2013 P\u00f4le\u00a0<a href=\"https:\/\/www.agilit.law\/expertises\/technologies-de-linformation-donnees-personnelles\/\">IT<\/a>,\u00a0<a href=\"https:\/\/www.agilit.law\/expertises\/donnees-a-caractere-personnel\/\">Data protection<\/a>\u00a0&amp;\u00a0<a href=\"https:\/\/www.agilit.law\/expertises\/telecommunications\/\">T\u00e9l\u00e9coms<\/a><\/p>\n<p><a href=\"https:\/\/www.agilit.law\/cabinet\/equipe\/laure-landes-gronowski\/\">Laure LANDES-GRONOWSKI<\/a>, Avocate associ\u00e9e<\/p>\n<p>&nbsp;<\/p>\n<p>&nbsp;<\/p>\n","protected":false},"excerpt":{"rendered":"<p>L\u2019entreprise fran\u00e7aise Spartoo de vente de chaussures en ligne a \u00e9t\u00e9 sanctionn\u00e9e par la formation restreinte de la Cnil, \u00e0 l\u2019occasion d\u2019une d\u00e9lib\u00e9ration en date du 28 juillet 2020, pour plusieurs manquements \u00e0 la r\u00e9glementation en mati\u00e8re de donn\u00e9es \u00e0 caract\u00e8re personnel de leurs clients et prospects. En effet, en 2018, la Cnil avait proc\u00e9d\u00e9&hellip;<\/p>\n","protected":false},"author":4,"featured_media":2833,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[150,73],"tags":[],"coauthors":[94],"yoast_head":"<!-- This site is optimized with the Yoast SEO plugin v21.3 - https:\/\/yoast.com\/wordpress\/plugins\/seo\/ -->\n<title>Sanction de la formation restreinte de la Cnil \u00e0 l&#039;encontre de Spartoo : amende administrative de 250 000 euros et injonction sous astreinte de se conformer au RGPD - AGIL&#039;IT<\/title>\n<meta name=\"robots\" content=\"index, follow, max-snippet:-1, max-image-preview:large, max-video-preview:-1\" \/>\n<link rel=\"canonical\" href=\"https:\/\/www.agilit.law\/en\/donnees-caractere-personnel\/sanction-de-la-formation-restreinte-de-la-cnil-a-lencontre-de-spartoo-amende-administrative-de-250-000-euros-et-injonction-sous-astreinte-de-se-conformer-au-rgpd\/\" \/>\n<meta property=\"og:locale\" content=\"en_US\" \/>\n<meta property=\"og:type\" content=\"article\" \/>\n<meta property=\"og:title\" content=\"Sanction de la formation restreinte de la Cnil \u00e0 l&#039;encontre de Spartoo : amende administrative de 250 000 euros et injonction sous astreinte de se conformer au RGPD - AGIL&#039;IT\" \/>\n<meta property=\"og:description\" content=\"L\u2019entreprise fran\u00e7aise Spartoo de vente de chaussures en ligne a \u00e9t\u00e9 sanctionn\u00e9e par la formation restreinte de la Cnil, \u00e0 l\u2019occasion d\u2019une d\u00e9lib\u00e9ration en date du 28 juillet 2020, pour plusieurs manquements \u00e0 la r\u00e9glementation en mati\u00e8re de donn\u00e9es \u00e0 caract\u00e8re personnel de leurs clients et prospects. En effet, en 2018, la Cnil avait proc\u00e9d\u00e9&hellip;\" \/>\n<meta property=\"og:url\" content=\"https:\/\/www.agilit.law\/en\/donnees-caractere-personnel\/sanction-de-la-formation-restreinte-de-la-cnil-a-lencontre-de-spartoo-amende-administrative-de-250-000-euros-et-injonction-sous-astreinte-de-se-conformer-au-rgpd\/\" \/>\n<meta property=\"og:site_name\" content=\"AGIL&#039;IT\" \/>\n<meta property=\"article:published_time\" content=\"2020-08-10T07:38:08+00:00\" \/>\n<meta property=\"article:modified_time\" content=\"2021-10-26T22:22:45+00:00\" \/>\n<meta property=\"og:image\" content=\"https:\/\/www.agilit.law\/wp-content\/uploads\/2017\/04\/RGPD-Focus-Code-conduite-labels-certifications-e1505207482927.jpg\" \/>\n\t<meta property=\"og:image:width\" content=\"1500\" \/>\n\t<meta property=\"og:image:height\" content=\"864\" \/>\n\t<meta property=\"og:image:type\" content=\"image\/jpeg\" \/>\n<meta name=\"author\" content=\"Laure Landes-Gronowski\" \/>\n<meta name=\"twitter:card\" content=\"summary_large_image\" \/>\n<meta name=\"twitter:label1\" content=\"Written by\" \/>\n\t<meta name=\"twitter:data1\" content=\"Laure Landes-Gronowski\" \/>\n\t<meta name=\"twitter:label2\" content=\"Est. reading time\" \/>\n\t<meta name=\"twitter:data2\" content=\"12 minutes\" \/>\n<script type=\"application\/ld+json\" class=\"yoast-schema-graph\">{\"@context\":\"https:\/\/schema.org\",\"@graph\":[{\"@type\":\"WebPage\",\"@id\":\"https:\/\/www.agilit.law\/en\/donnees-caractere-personnel\/sanction-de-la-formation-restreinte-de-la-cnil-a-lencontre-de-spartoo-amende-administrative-de-250-000-euros-et-injonction-sous-astreinte-de-se-conformer-au-rgpd\/\",\"url\":\"https:\/\/www.agilit.law\/en\/donnees-caractere-personnel\/sanction-de-la-formation-restreinte-de-la-cnil-a-lencontre-de-spartoo-amende-administrative-de-250-000-euros-et-injonction-sous-astreinte-de-se-conformer-au-rgpd\/\",\"name\":\"Sanction de la formation restreinte de la Cnil \u00e0 l'encontre de Spartoo : amende administrative de 250 000 euros et injonction sous astreinte de se conformer au RGPD - AGIL&#039;IT\",\"isPartOf\":{\"@id\":\"https:\/\/www.agilit.law\/#website\"},\"datePublished\":\"2020-08-10T07:38:08+00:00\",\"dateModified\":\"2021-10-26T22:22:45+00:00\",\"author\":{\"@id\":\"https:\/\/www.agilit.law\/#\/schema\/person\/f8eb00f4d6ec1b0f2b71fed18a09cd6a\"},\"breadcrumb\":{\"@id\":\"https:\/\/www.agilit.law\/en\/donnees-caractere-personnel\/sanction-de-la-formation-restreinte-de-la-cnil-a-lencontre-de-spartoo-amende-administrative-de-250-000-euros-et-injonction-sous-astreinte-de-se-conformer-au-rgpd\/#breadcrumb\"},\"inLanguage\":\"en-US\",\"potentialAction\":[{\"@type\":\"ReadAction\",\"target\":[\"https:\/\/www.agilit.law\/en\/donnees-caractere-personnel\/sanction-de-la-formation-restreinte-de-la-cnil-a-lencontre-de-spartoo-amende-administrative-de-250-000-euros-et-injonction-sous-astreinte-de-se-conformer-au-rgpd\/\"]}]},{\"@type\":\"BreadcrumbList\",\"@id\":\"https:\/\/www.agilit.law\/en\/donnees-caractere-personnel\/sanction-de-la-formation-restreinte-de-la-cnil-a-lencontre-de-spartoo-amende-administrative-de-250-000-euros-et-injonction-sous-astreinte-de-se-conformer-au-rgpd\/#breadcrumb\",\"itemListElement\":[{\"@type\":\"ListItem\",\"position\":1,\"name\":\"Accueil\",\"item\":\"https:\/\/www.agilit.law\/en\/\"},{\"@type\":\"ListItem\",\"position\":2,\"name\":\"Sanction de la formation restreinte de la Cnil \u00e0 l&#8217;encontre de Spartoo : amende administrative de 250 000 euros et injonction sous astreinte de se conformer au RGPD\"}]},{\"@type\":\"WebSite\",\"@id\":\"https:\/\/www.agilit.law\/#website\",\"url\":\"https:\/\/www.agilit.law\/\",\"name\":\"AGIL&#039;IT\",\"description\":\"Make things simple\",\"potentialAction\":[{\"@type\":\"SearchAction\",\"target\":{\"@type\":\"EntryPoint\",\"urlTemplate\":\"https:\/\/www.agilit.law\/?s={search_term_string}\"},\"query-input\":\"required name=search_term_string\"}],\"inLanguage\":\"en-US\"},{\"@type\":\"Person\",\"@id\":\"https:\/\/www.agilit.law\/#\/schema\/person\/f8eb00f4d6ec1b0f2b71fed18a09cd6a\",\"name\":\"Laure Landes-Gronowski\",\"image\":{\"@type\":\"ImageObject\",\"inLanguage\":\"en-US\",\"@id\":\"https:\/\/www.agilit.law\/#\/schema\/person\/image\/28fdc5034409b7339d9cfb1c7e67a42c\",\"url\":\"https:\/\/secure.gravatar.com\/avatar\/13eb25dedfd6848dcbcfda1a74be2ff1?s=96&d=mm&r=g\",\"contentUrl\":\"https:\/\/secure.gravatar.com\/avatar\/13eb25dedfd6848dcbcfda1a74be2ff1?s=96&d=mm&r=g\",\"caption\":\"Laure Landes-Gronowski\"},\"url\":\"https:\/\/www.agilit.law\/en\/author\/laure\/\"}]}<\/script>\n<!-- \/ Yoast SEO plugin. -->","yoast_head_json":{"title":"Sanction de la formation restreinte de la Cnil \u00e0 l'encontre de Spartoo : amende administrative de 250 000 euros et injonction sous astreinte de se conformer au RGPD - AGIL&#039;IT","robots":{"index":"index","follow":"follow","max-snippet":"max-snippet:-1","max-image-preview":"max-image-preview:large","max-video-preview":"max-video-preview:-1"},"canonical":"https:\/\/www.agilit.law\/en\/donnees-caractere-personnel\/sanction-de-la-formation-restreinte-de-la-cnil-a-lencontre-de-spartoo-amende-administrative-de-250-000-euros-et-injonction-sous-astreinte-de-se-conformer-au-rgpd\/","og_locale":"en_US","og_type":"article","og_title":"Sanction de la formation restreinte de la Cnil \u00e0 l'encontre de Spartoo : amende administrative de 250 000 euros et injonction sous astreinte de se conformer au RGPD - AGIL&#039;IT","og_description":"L\u2019entreprise fran\u00e7aise Spartoo de vente de chaussures en ligne a \u00e9t\u00e9 sanctionn\u00e9e par la formation restreinte de la Cnil, \u00e0 l\u2019occasion d\u2019une d\u00e9lib\u00e9ration en date du 28 juillet 2020, pour plusieurs manquements \u00e0 la r\u00e9glementation en mati\u00e8re de donn\u00e9es \u00e0 caract\u00e8re personnel de leurs clients et prospects. En effet, en 2018, la Cnil avait proc\u00e9d\u00e9&hellip;","og_url":"https:\/\/www.agilit.law\/en\/donnees-caractere-personnel\/sanction-de-la-formation-restreinte-de-la-cnil-a-lencontre-de-spartoo-amende-administrative-de-250-000-euros-et-injonction-sous-astreinte-de-se-conformer-au-rgpd\/","og_site_name":"AGIL&#039;IT","article_published_time":"2020-08-10T07:38:08+00:00","article_modified_time":"2021-10-26T22:22:45+00:00","og_image":[{"width":1500,"height":864,"url":"https:\/\/www.agilit.law\/wp-content\/uploads\/2017\/04\/RGPD-Focus-Code-conduite-labels-certifications-e1505207482927.jpg","type":"image\/jpeg"}],"author":"Laure Landes-Gronowski","twitter_card":"summary_large_image","twitter_misc":{"Written by":"Laure Landes-Gronowski","Est. reading time":"12 minutes"},"schema":{"@context":"https:\/\/schema.org","@graph":[{"@type":"WebPage","@id":"https:\/\/www.agilit.law\/en\/donnees-caractere-personnel\/sanction-de-la-formation-restreinte-de-la-cnil-a-lencontre-de-spartoo-amende-administrative-de-250-000-euros-et-injonction-sous-astreinte-de-se-conformer-au-rgpd\/","url":"https:\/\/www.agilit.law\/en\/donnees-caractere-personnel\/sanction-de-la-formation-restreinte-de-la-cnil-a-lencontre-de-spartoo-amende-administrative-de-250-000-euros-et-injonction-sous-astreinte-de-se-conformer-au-rgpd\/","name":"Sanction de la formation restreinte de la Cnil \u00e0 l'encontre de Spartoo : amende administrative de 250 000 euros et injonction sous astreinte de se conformer au RGPD - AGIL&#039;IT","isPartOf":{"@id":"https:\/\/www.agilit.law\/#website"},"datePublished":"2020-08-10T07:38:08+00:00","dateModified":"2021-10-26T22:22:45+00:00","author":{"@id":"https:\/\/www.agilit.law\/#\/schema\/person\/f8eb00f4d6ec1b0f2b71fed18a09cd6a"},"breadcrumb":{"@id":"https:\/\/www.agilit.law\/en\/donnees-caractere-personnel\/sanction-de-la-formation-restreinte-de-la-cnil-a-lencontre-de-spartoo-amende-administrative-de-250-000-euros-et-injonction-sous-astreinte-de-se-conformer-au-rgpd\/#breadcrumb"},"inLanguage":"en-US","potentialAction":[{"@type":"ReadAction","target":["https:\/\/www.agilit.law\/en\/donnees-caractere-personnel\/sanction-de-la-formation-restreinte-de-la-cnil-a-lencontre-de-spartoo-amende-administrative-de-250-000-euros-et-injonction-sous-astreinte-de-se-conformer-au-rgpd\/"]}]},{"@type":"BreadcrumbList","@id":"https:\/\/www.agilit.law\/en\/donnees-caractere-personnel\/sanction-de-la-formation-restreinte-de-la-cnil-a-lencontre-de-spartoo-amende-administrative-de-250-000-euros-et-injonction-sous-astreinte-de-se-conformer-au-rgpd\/#breadcrumb","itemListElement":[{"@type":"ListItem","position":1,"name":"Accueil","item":"https:\/\/www.agilit.law\/en\/"},{"@type":"ListItem","position":2,"name":"Sanction de la formation restreinte de la Cnil \u00e0 l&#8217;encontre de Spartoo : amende administrative de 250 000 euros et injonction sous astreinte de se conformer au RGPD"}]},{"@type":"WebSite","@id":"https:\/\/www.agilit.law\/#website","url":"https:\/\/www.agilit.law\/","name":"AGIL&#039;IT","description":"Make things simple","potentialAction":[{"@type":"SearchAction","target":{"@type":"EntryPoint","urlTemplate":"https:\/\/www.agilit.law\/?s={search_term_string}"},"query-input":"required name=search_term_string"}],"inLanguage":"en-US"},{"@type":"Person","@id":"https:\/\/www.agilit.law\/#\/schema\/person\/f8eb00f4d6ec1b0f2b71fed18a09cd6a","name":"Laure Landes-Gronowski","image":{"@type":"ImageObject","inLanguage":"en-US","@id":"https:\/\/www.agilit.law\/#\/schema\/person\/image\/28fdc5034409b7339d9cfb1c7e67a42c","url":"https:\/\/secure.gravatar.com\/avatar\/13eb25dedfd6848dcbcfda1a74be2ff1?s=96&d=mm&r=g","contentUrl":"https:\/\/secure.gravatar.com\/avatar\/13eb25dedfd6848dcbcfda1a74be2ff1?s=96&d=mm&r=g","caption":"Laure Landes-Gronowski"},"url":"https:\/\/www.agilit.law\/en\/author\/laure\/"}]}},"_links":{"self":[{"href":"https:\/\/www.agilit.law\/en\/wp-json\/wp\/v2\/posts\/8179"}],"collection":[{"href":"https:\/\/www.agilit.law\/en\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.agilit.law\/en\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.agilit.law\/en\/wp-json\/wp\/v2\/users\/4"}],"replies":[{"embeddable":true,"href":"https:\/\/www.agilit.law\/en\/wp-json\/wp\/v2\/comments?post=8179"}],"version-history":[{"count":5,"href":"https:\/\/www.agilit.law\/en\/wp-json\/wp\/v2\/posts\/8179\/revisions"}],"predecessor-version":[{"id":8184,"href":"https:\/\/www.agilit.law\/en\/wp-json\/wp\/v2\/posts\/8179\/revisions\/8184"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.agilit.law\/en\/wp-json\/wp\/v2\/media\/2833"}],"wp:attachment":[{"href":"https:\/\/www.agilit.law\/en\/wp-json\/wp\/v2\/media?parent=8179"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.agilit.law\/en\/wp-json\/wp\/v2\/categories?post=8179"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.agilit.law\/en\/wp-json\/wp\/v2\/tags?post=8179"},{"taxonomy":"author","embeddable":true,"href":"https:\/\/www.agilit.law\/en\/wp-json\/wp\/v2\/coauthors?post=8179"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}