A la suite de plusieurs plaintes re\u00e7ues par la Cnil \u00e0 l\u2019encontre du groupe Carrefour, cette derni\u00e8re a proc\u00e9d\u00e9 \u00e0 des contr\u00f4les sur place et en ligne, entre mai et juillet 2019, aupr\u00e8s des soci\u00e9t\u00e9s Carrefour France et Carrefour Banque.<\/p>\n
<\/p>\n
Par deux d\u00e9lib\u00e9rations en date du 18 novembre 2020, la formation restreinte de la Cnil a condamn\u00e9 Carrefour France<\/a> et Carrefour Banque<\/a> au titre des manquements pr\u00e9sent\u00e9s ci-dessous.<\/p>\n <\/p>\n La Cnil rel\u00e8ve que l\u2019information fournie aux personnes concern\u00e9es s\u2019agissant du traitement de leurs donn\u00e9es \u00e0 caract\u00e8re personnel est difficilement accessible <\/strong>sur le site internet des soci\u00e9t\u00e9s concern\u00e9es.<\/p>\n En particulier\u00a0:<\/p>\n La Cnil consid\u00e8re \u00e9galement que l\u2019information fournie par Carrefour France et par Carrefour Banque aux personnes concern\u00e9es est difficilement compr\u00e9hensible par les personnes concern\u00e9es. <\/strong>A titre d\u2019illustration, l\u2019utilisation quasi syst\u00e9matique des termes \u00ab\u00a0notamment\u00a0\u00bb, \u00ab\u00a0sont susceptibles de\u00a0\u00bb, \u00ab\u00a0\u00e9ventuellement\u00a0\u00bb, \u00ab\u00a0une possible utilisation de vos donn\u00e9es\u00a0\u00bb, etc. ainsi que l\u2019utilisation du conditionnel rendent selon la Cnil les informations fournies peu claires, ambig\u00fces ou impr\u00e9cises, ce qui n\u2019est pas sans rappeler les recommandations du G29 (devenu le Comit\u00e9 Europ\u00e9en de la Protection des Donn\u00e9es ou \u00ab\u00a0CEPD\u00a0\u00bb) en mati\u00e8re de transparence<\/a>.<\/p>\n Elle estime \u00e9galement que l\u2019information telle que fournie aux personnes concern\u00e9es au moment de son contr\u00f4le est incompl\u00e8te<\/strong> s\u2019agissant des traitements effectivement mis en \u0153uvre par Carrefour France et Carrefour Banque, notamment en ce que\u00a0:<\/p>\n <\/p>\n Bien que les faits constat\u00e9s soient ant\u00e9rieurs aux nouvelles recommandations de la Cnil en la mati\u00e8re (voir notre article ici<\/a> \u00e0 ce sujet) et soient donc soumis aux principes et recommandations tels qu\u2019en vigueur \u00e0 la date du contr\u00f4le de la Cnil, cette derni\u00e8re constate que de nombreux cookies (dont des cookies Google Analytics) sont d\u00e9pos\u00e9s automatiquement lors de l\u2019arriv\u00e9e des internautes sur le site internet des soci\u00e9t\u00e9s concern\u00e9es, sans avoir recueilli pr\u00e9alablement leur consentement<\/strong> \u00e0 cette fin.<\/p>\n A toutes fins utiles, la Cnil pr\u00e9cise notamment que les cookies Google Analytics<\/strong> ne peuvent \u00eatre consid\u00e9r\u00e9s comme ayant pour finalit\u00e9 exclusive de permettre ou de faciliter la communication par voie \u00e9lectronique et ne sont pas strictement n\u00e9cessaires \u00e0 la fourniture du service d\u00e8s lors que les donn\u00e9es collect\u00e9es par ces cookies peuvent \u00eatre recoup\u00e9es avec des donn\u00e9es notamment pour mener \u00e0 bien de la publicit\u00e9 personnalis\u00e9e, ce dont il r\u00e9sulte que leur d\u00e9p\u00f4t requiert le consentement pr\u00e9alable de l\u2019utilisateur.<\/strong><\/p>\n <\/p>\n S\u2019agissant des pratiques constat\u00e9es chez Carrefour France, la Cnil a sanctionn\u00e9 cette derni\u00e8re au titre d\u2019une conservation excessive des donn\u00e9es<\/strong>.<\/p>\n En l\u2019esp\u00e8ce, la Cnil a constat\u00e9 lors de son contr\u00f4le\u00a0:<\/p>\n ces dur\u00e9es de conservation ayant \u00e9t\u00e9 consid\u00e9r\u00e9es par la Cnil comme excessives au regard de la finalit\u00e9 poursuivie.<\/p>\n En outre, la conservation de la copie des titres d\u2019identit\u00e9 collect\u00e9s dans le cadre des demandes d\u2019exercice de leurs droits par les personnes concern\u00e9es<\/strong> pendant une dur\u00e9e d\u2019un \u00e0 6 ans a \u00e9t\u00e9 consid\u00e9r\u00e9e par la Cnil comme excessive, cette derni\u00e8re pr\u00e9cisant \u00e0 ce sujet que d\u00e8s lors qu\u2019il a \u00e9t\u00e9 fait droit \u00e0 la demande de la personne concern\u00e9e, la soci\u00e9t\u00e9 n\u2019a plus besoin de conserver la copie du titre d\u2019identit\u00e9 du demandeur et elle ne peut conserver le cas \u00e9ch\u00e9ant \u00e0 des fins contentieuses que le courrier de r\u00e9ponse adress\u00e9 au demandeur, qu\u2019elle doit alors archiver<\/strong>.<\/p>\n <\/p>\n Ainsi que nous le soulevions pr\u00e9c\u00e9demment (voir notre article \u00e0 ce sujet ici<\/a>), l\u2019adoption du d\u00e9cret n\u00b02018-687 du 1er<\/sup> ao\u00fbt 2018 pris en application de la loi \u00ab\u00a0Informatique et libert\u00e9s\u00a0\u00bb a remis en cause l\u2019obligation de demander syst\u00e9matiquement la copie d\u2019un titre d\u2019identit\u00e9 sign\u00e9 \u00e0 l\u2019appui d\u2019une demande d\u2019exercice de ses droits (droits d\u2019acc\u00e8s, d\u2019effacement, de rectification,\u2026) adress\u00e9e par une personne concern\u00e9e.<\/p>\n Dans le cadre de son contr\u00f4le aupr\u00e8s de Carrefour France, la Cnil rel\u00e8ve que, sauf pour ce qui concerne les demandes d\u2019opposition au traitement de leurs donn\u00e9es \u00e0 des fins de prospection commerciale, Carrefour France demandait syst\u00e9matiquement un justificatif d\u2019identit\u00e9 aux personnes concern\u00e9es pour pouvoir exercer les droits qui leur sont reconnus au titre de la r\u00e8glementation applicable en mati\u00e8re de protection des donn\u00e9es \u00e0 caract\u00e8re personnel, alors m\u00eame qu\u2019une telle demande syst\u00e9matique d\u2019un justificatif d\u2019identit\u00e9 n\u2019est pas justifi\u00e9e lorsqu\u2019il n\u2019existe pas de doute quant \u00e0 l\u2019identit\u00e9 d\u2019une personne demandant \u00e0 exercer de ses droits<\/strong>.<\/p>\n En outre, il a pu \u00eatre constat\u00e9 un retard chronique dans le traitement des demandes d\u2019exercice des droits<\/strong> re\u00e7ues par Carrefour France en raison d\u2019une d\u00e9sorganisation structurelle suite \u00e0 l\u2019entr\u00e9e en application du RGPD. La Cnil rappelle \u00e0 cet \u00e9gard qu\u2019il appartient \u00e0 tout responsable de traitement de fournir la r\u00e9ponse \u00e0 la demande de la personne concern\u00e9e dans les meilleurs d\u00e9lais et en tout \u00e9tat de cause dans un d\u00e9lai d’un mois maximum \u00e0 compter de la r\u00e9ception de la demande (ce d\u00e9lai ne pouvant \u00eatre exceptionnellement prolong\u00e9 de deux mois qu\u2019en raison de la complexit\u00e9 et du nombre de demandes \u00e0 traiter), si bien que des d\u00e9lais de r\u00e9ponse par Carrefour France pouvant \u00eatre port\u00e9s \u00e0 pr\u00e8s de 9 mois apr\u00e8s la r\u00e9ception de la demande ne sont pas conformes aux exigences applicables en la mati\u00e8re.<\/p>\n <\/p>\n Au cours du contr\u00f4l\u00e9 men\u00e9 par la Cnil, il est apparu que des demandes<\/strong> d\u2019effacement ou d\u2019acc\u00e8s \u00e0 des donn\u00e9es \u00e0 caract\u00e8re personnel ou encore d\u2019opposition \u00e0 un traitement de donn\u00e9es \u00e0 caract\u00e8re personnel adress\u00e9es par des personnes concern\u00e9es n\u2019avaient pas \u00e9t\u00e9 suivies d\u2019effet ou n\u2019avaient fait l\u2019objet d\u2019aucune r\u00e9ponse de la part de Carrefour France<\/strong>, ce qui caract\u00e9rise un manquement de la part de cette derni\u00e8re aux obligations lui incombant s\u2019agissant de la gestion, du traitement et du suivi des demandes d\u2019exercice de leurs droits \u00e9manant des personnes concern\u00e9es et des r\u00e9ponses \u00e0 y apporter.<\/p>\n <\/p>\n Il est \u00e9galement reproch\u00e9 \u00e0 Carrefour France de ne pas avoir mis en place les mesures n\u00e9cessaires en vue d\u2019assurer la s\u00e9curit\u00e9 des donn\u00e9es \u00e0 caract\u00e8re personnel sur son site internet. En effet, la Cnil a pu constater lors de son contr\u00f4le que chaque facture de client \u00e9tait librement accessible par une adresse url fixe<\/strong>, si bien que toute personne disposant de cette adresse pouvait y acc\u00e9der sans besoin de s\u2019authentifier et de se connecter \u00e0 son espace client.<\/p>\n La Cnil rel\u00e8ve que l\u2019ajout d\u2019une cha\u00eene de caract\u00e8res al\u00e9atoires ne suffit pas \u00e0 elle seule \u00e0 emp\u00eacher un tel libre acc\u00e8s \u00e0 des donn\u00e9es de clients et que seul le d\u00e9ploiement d\u2019un m\u00e9canisme d\u2019authentification pr\u00e9alable obligatoire<\/strong> permet d\u2019emp\u00eacher compl\u00e8tement ce risque<\/strong>.<\/p>\n <\/p>\n Suite \u00e0 une attaque informatique (au terme de laquelle 800 000 tentatives de connexion avaient abouti \u00e0 4 000 authentifications r\u00e9ussies et \u00e0 275 acc\u00e8s effectifs aux comptes de clients) n\u2019ayant pas fait l\u2019objet d\u2019une notification \u00e0 la Cnil, cette derni\u00e8re a consid\u00e9r\u00e9 que l\u2019absence de notification de cette violation de donn\u00e9es \u00e0 caract\u00e8re personnel par Carrefour France constituait un manquement de cette derni\u00e8re<\/strong> \u00e0 ses obligations en la mati\u00e8re d\u00e8s lors que cette violation \u00e9tait susceptible d\u2019engendrer des risques pour les droits et libert\u00e9s des personnes concern\u00e9es<\/strong> en raison de l\u2019origine \u00e0 l\u2019\u00e9vidence malveillante de cette attaque, du grand nombre de personnes concern\u00e9es et de la combinaison de plusieurs donn\u00e9es \u00e0 caract\u00e8re personnel auxquelles l\u2019attaque a permis d\u2019acc\u00e9der et qui permettent l\u2019identification et le contact direct des personnes concern\u00e9es d\u00e8s lors que les comptes concern\u00e9s pouvaient comporter notamment l\u2019identit\u00e9 des personnes ainsi que leurs coordonn\u00e9es.<\/p>\n <\/p>\n Lors de la souscription \u00e0 une carte de paiement, il est constat\u00e9 par la Cnil que le souscripteur peut \u00e9galement souscrire au programme de fid\u00e9lit\u00e9 Carrefour, g\u00e9r\u00e9 par Carrefour France.<\/p>\n Or, si le souscripteur est inform\u00e9 de ce que certaines de ses donn\u00e9es peuvent \u00eatre communiqu\u00e9es \u00e0 une autre entit\u00e9 Carrefour dans ce cadre, la Cnil rel\u00e8ve qu\u2019une telle information n\u2019est pas exhaustive s\u2019agissant des donn\u00e9es effectivement transmises en pratique. En outre, selon la Cnil, l\u2019information fournie dans ce cadre est d\u00e9loyale et trompeuse en ce qu\u2019elle vise la communication de donn\u00e9es \u00e0 \u00ab\u00a0Carrefour fid\u00e9lit\u00e9\u00a0\u00bb, qui est un service rattach\u00e9 \u00e0 Carrefour France, et non \u00e0 \u00ab\u00a0Carrefour France\u00a0\u00bb, ce qui n\u2019est pas de nature \u00e0 permettre d\u2019identifier v\u00e9ritablement l\u2019entit\u00e9 destinataire des donn\u00e9es.<\/p>\n Aussi, la Cnil a consid\u00e9r\u00e9 qu\u2019en n\u2019informant que partiellement et de mani\u00e8re d\u00e9loyale les personnes concern\u00e9es de ce que leurs donn\u00e9es pouvaient \u00eatre communiqu\u00e9es \u00e0 Carrefour France<\/strong>, Carrefour Banque a m\u00e9connu le principe de loyaut\u00e9 du traitement, principe dont la violation peut, ainsi que le souligne la Cnil, faire l\u2019objet d\u2019une sanction.<\/p>\n <\/p>\n *\u00a0 \u00a0 \u00a0 \u00a0 \u00a0 *<\/p>\n *<\/p>\n <\/p>\n Les sanctions prononc\u00e9es par la Cnil dans ces affaires ne sont pas n\u00e9gligeables dans la mesure o\u00f9 :<\/p>\n et ce alors m\u00eame que la Cnil rel\u00e8ve que nombre d\u2019actions correctrices avaient \u00e9t\u00e9 d\u00e9ploy\u00e9es<\/strong> par Carrefour France et Carrefour Banque en cours de proc\u00e9dure, permettant de corriger l\u2019ensemble des manquements relev\u00e9s par la Cnil dans son rapport de sanction, la Cnil soulignant qu\u2019il n\u2019est de ce fait pas justifi\u00e9 de les enjoindre \u00e0 mettre en conformit\u00e9 leurs pratiques. Ces d\u00e9cisions sont susceptibles de faire l\u2019objet d\u2019un recours devant le Conseil d\u2019\u00c9tat dans un d\u00e9lai de deux mois \u00e0 compter de leur notification.<\/p>\n <\/p>\n <\/p>\n <\/p>\n Ces d\u00e9cisions doivent particuli\u00e8rement \u00eatre relev\u00e9es car elles apportent un \u00e9clairage pertinent \u00e0 tous les organismes traitant des donn\u00e9es \u00e0 caract\u00e8re personnel et\/ou utilisant des cookies, en pr\u00e9cisant notamment l\u2019appr\u00e9ciation faite par la Cnil<\/strong> s\u2019agissant de l\u2019application pratique des principes consacr\u00e9s par la r\u00e8glementation applicable en mati\u00e8re de protection des donn\u00e9es \u00e0 caract\u00e8re personnel et en mati\u00e8re de cookies (et autres traceurs ou technologies similaires).<\/p>\n <\/p>\n Il en r\u00e9sulte qu\u2019il est structurant pour tout organisme traitant des donn\u00e9es \u00e0 caract\u00e8re personnel et\/ou utilisant des cookies de d\u00e9ployer sans d\u00e9lai notamment les actions suivantes :<\/strong><\/p>\n <\/p>\n Bien entendu, en cas non-conformit\u00e9(s) de ses pratiques \u00e0 la position de la Cnil pr\u00e9cit\u00e9e, il convient pour tout responsable de traitement de r\u00e9aliser l\u2019ensemble des mises \u00e0 jour n\u00e9cessaires pour que lesdites pratiques soient conformes \u00e0 la r\u00e9glementation applicable en mati\u00e8re de protection des donn\u00e9es \u00e0 caract\u00e8re personnel et de cookies, ainsi qu\u2019\u00e0 l\u2019appr\u00e9ciation et \u00e0 l\u2019interpr\u00e9tation qui en est faite par la Cnil<\/strong>.<\/p>\n <\/p>\n <\/p>\n AGIL\u2019IT se tient \u00e0 votre disposition pour vous accompagner dans le cadre de la mise et\/ou du maintien en conformit\u00e9 de vos pratiques au regard de la r\u00e8glementation applicable en mati\u00e8re de protection des donn\u00e9es \u00e0 caract\u00e8re personnel et en mati\u00e8re de cookies.<\/em><\/p>\n \u00a0<\/em><\/p>\n \u00a0<\/em><\/p>\n Par\u00a0AGIL\u2019IT<\/a>\u00a0\u2013 P\u00f4le\u00a0IT<\/a>,\u00a0Data protection<\/a>\u00a0&\u00a0T\u00e9l\u00e9coms<\/a><\/p>\nManquements relatifs \u00e0 l\u2019obligation d\u2019information des personnes concern\u00e9es<\/strong><\/h2>\n
\n
\n
Manquements relatifs \u00e0 la r\u00e9glementation applicable en mati\u00e8re de cookies<\/strong><\/h2>\n
Manquements relatifs \u00e0 l\u2019obligation de limitation de la dur\u00e9e de conservation des donn\u00e9es<\/strong><\/h2>\n
\n
Manquements relatifs aux modalit\u00e9s d\u2019exercice des droits des personnes concern\u00e9es et aux d\u00e9lais de r\u00e9ponse \u00e0 de telles demandes<\/strong><\/h2>\n
Manquements relatifs au respect des droits des personnes concern\u00e9es<\/strong><\/h2>\n
Manquements relatifs \u00e0 l\u2019obligation de s\u00e9curit\u00e9 des donn\u00e9es \u00e0 caract\u00e8re personnel<\/strong><\/h2>\n
Manquements relatifs \u00e0 l\u2019obligation de notification des violations de donn\u00e9es \u00e0 caract\u00e8re personnel<\/strong><\/h2>\n
Manquements relatifs \u00e0 l\u2019obligation de loyaut\u00e9 du traitement<\/strong><\/h2>\n
\n
Plan d’actions<\/h3>\n
\n
\n
\n