{"id":8728,"date":"2021-01-11T17:14:29","date_gmt":"2021-01-11T16:14:29","guid":{"rendered":"https:\/\/www.agilit.law\/?p=8728"},"modified":"2021-10-27T00:17:38","modified_gmt":"2021-10-26T22:17:38","slug":"tpe-pme-et-liberaux-quelles-que-soient-la-taille-et-lactivite-de-votre-organisme-la-reglementation-en-matiere-de-protection-des-donnees-a-caractere-personnel-vous-est-applicable","status":"publish","type":"post","link":"https:\/\/www.agilit.law\/en\/donnees-caractere-personnel\/tpe-pme-et-liberaux-quelles-que-soient-la-taille-et-lactivite-de-votre-organisme-la-reglementation-en-matiere-de-protection-des-donnees-a-caractere-personnel-vous-est-applicable\/","title":{"rendered":"TPE, PME et lib\u00e9raux\u00a0: quelles que soient la taille et l\u2019activit\u00e9 de votre organisme, la r\u00e8glementation en mati\u00e8re de protection des donn\u00e9es \u00e0 caract\u00e8re personnel vous est applicable\u00a0!"},"content":{"rendered":"<p><strong>La formation restreinte de la Commission nationale de l&#8217;informatique et des libert\u00e9s (ou \u00ab\u00a0Cnil\u00a0\u00bb) est venue r\u00e9cemment sanctionner des petites et moyennes structures au titre de divers manquements \u00e0 la r\u00e8glementation applicable en mati\u00e8re de protection des donn\u00e9es \u00e0 caract\u00e8re personnel.<\/strong> Si les montants des amendes administratives prononc\u00e9es ne sont pas aussi \u00e9lev\u00e9s que ceux des amendes qu\u2019elle a pu r\u00e9cemment infliger \u00e0 des grands groupes (voir notamment <a href=\"https:\/\/www.agilit.law\/droit-technologie-et-informations-donnees-personnelles\/condamnations-de-carrefour-france-et-de-carrefour-banque-par-la-cnil-amendes-a-hauteur-respectivement-de-2-250-000-euros-et-de-800-000-euros\/\" target=\"_blank\" rel=\"noopener\">notre pr\u00e9c\u00e9dent article relatifs aux sanctions prononc\u00e9es \u00e0 l\u2019encontre de deux entit\u00e9s du groupe Carrefour<\/a> ou encore les d\u00e9cisions prononc\u00e9es \u00e0 l\u2019encontre de <a href=\"https:\/\/www.legifrance.gouv.fr\/cnil\/id\/CNILTEXT000042635706\" target=\"_blank\" rel=\"noopener\">Google<\/a> et d\u2019<a href=\"https:\/\/www.legifrance.gouv.fr\/cnil\/id\/CNILTEXT000042635729\" target=\"_blank\" rel=\"noopener\">Amazon<\/a>), il n\u2019en demeure pas moins qu\u2019il convient de garder \u00e0 l\u2019esprit que les contr\u00f4les et sanctions de la Cnil peuvent viser toute sorte d\u2019organismes traitant des donn\u00e9es \u00e0 caract\u00e8re personnel, quelle que soit leur taille ou quelle que soit leur activit\u00e9.<\/p>\n<p>&nbsp;<\/p>\n<p>&nbsp;<\/p>\n<h2><strong>Condamnation de deux m\u00e9decins lib\u00e9raux<\/strong><\/h2>\n<p>Par deux d\u00e9lib\u00e9rations en date du 7 d\u00e9cembre dernier (cf. <a href=\"https:\/\/www.legifrance.gouv.fr\/cnil\/id\/CNILTEXT000042675720\" target=\"_blank\" rel=\"noopener\">D\u00e9lib\u00e9ration n\u00b0SAN-2020-014 du 7 d\u00e9cembre 2020<\/a> et <a href=\"https:\/\/www.legifrance.gouv.fr\/cnil\/id\/CNILTEXT000042676787\" target=\"_blank\" rel=\"noopener\">D\u00e9lib\u00e9ration n\u00b0SAN-2020-015 du 7 d\u00e9cembre 2020<\/a>), la formation restreinte de la Cnil a respectivement condamn\u00e9 \u00e0 des amendes de 3 000 euros et de 6 000 euros deux m\u00e9decins lib\u00e9raux pour avoir\u00a0:<\/p>\n<p>&nbsp;<\/p>\n<ul>\n<li>manqu\u00e9 \u00e0 l\u2019<strong>obligation d\u2019assurer la s\u00e9curit\u00e9 des donn\u00e9es \u00e0 caract\u00e8re personnel<\/strong> de leurs patients (cf. article 32 du RGPD). En effet, lors de ses contr\u00f4les aupr\u00e8s de ces m\u00e9decins, la Cnil a relev\u00e9 qu\u2019une violation de telles donn\u00e9es \u00e0 caract\u00e8re personnel \u00e9tait imputable \u00e0 un manquement desdits m\u00e9decins \u00e0 leur obligation de mettre en \u0153uvre les mesures appropri\u00e9es pour garantir la s\u00e9curit\u00e9 du traitement mis respectivement en \u0153uvre par chacun d\u2019eux en qualit\u00e9 de responsables de traitement, en soulignant que <strong>la protection du r\u00e9seau informatique interne et le chiffrement des donn\u00e9es \u00e0 caract\u00e8re personnel faisaient partie des exigences \u00e9l\u00e9mentaires en mati\u00e8re de s\u00e9curit\u00e9 informatique qui incombent \u00e0 tout responsable de traitement et que le traitement de donn\u00e9es de sant\u00e9, donn\u00e9es particuli\u00e8rement sensibles, n\u00e9cessitait une vigilance particuli\u00e8re et le d\u00e9ploiement de mesures de s\u00e9curit\u00e9 renforc\u00e9es <\/strong>;<\/li>\n<\/ul>\n<p>&nbsp;<\/p>\n<ul>\n<li>manqu\u00e9 \u00e0 leur <strong>obligation de notifier \u00e0 la Cnil toute violation de donn\u00e9es \u00e0 caract\u00e8re personnel, lorsqu\u2019une telle notification est requise, c\u2019est-\u00e0-dire lorsque la violation en question est susceptible d&#8217;engendrer un risque pour les droits et libert\u00e9s des personnes physiques <\/strong>(cf. article 33 du RGPD), <strong>et ce alors m\u00eame que cette violation de donn\u00e9es avait \u00e9t\u00e9 constat\u00e9e par la Cnil au cours d\u2019un contr\u00f4le r\u00e9alis\u00e9 par ses soins<\/strong>. En effet, la formation restreinte de la Cnil a pr\u00e9cis\u00e9 que, cons\u00e9cutivement au contr\u00f4le, le responsable de traitement pouvait avoir connaissance d\u2019\u00e9l\u00e9ments compl\u00e9mentaires relatifs \u00e0 la violation de donn\u00e9es qui m\u00e9ritaient d\u2019\u00eatre communiqu\u00e9s aux services comp\u00e9tents de la Cnil.<\/li>\n<\/ul>\n<p>&nbsp;<\/p>\n<p>&nbsp;<\/p>\n<h2><strong>Condamnation d\u2019une tr\u00e8s petite entreprise (\u00ab\u00a0TPE\u00a0\u00bb)<\/strong><\/h2>\n<p>Par une autre d\u00e9lib\u00e9ration en date du 7 d\u00e9cembre dernier (cf. <a href=\"https:\/\/www.legifrance.gouv.fr\/cnil\/id\/CNILTEXT000042774286?isSuggest=true\" target=\"_blank\" rel=\"noopener\">D\u00e9lib\u00e9ration n\u00b0SAN-2020-016 du 7 d\u00e9cembre 2020<\/a>), <strong>la Cnil a condamn\u00e9 \u00e0 une amende de 7 300 euros une TPE ayant pour activit\u00e9 l\u2019envoi de prospections commerciales pour le compte d\u2019annonceurs et a prononc\u00e9 \u00e0 son encontre une injonction de mettre en conformit\u00e9 le traitement de donn\u00e9es \u00e0 caract\u00e8re personnel concern\u00e9 par le contr\u00f4le de la Cnil, et ce au titre des manquements suivants\u00a0:<\/strong><\/p>\n<p>&nbsp;<\/p>\n<ul>\n<li><strong>manquement \u00e0 l\u2019obligation<\/strong> <strong>de recueillir le consentement pr\u00e9alable des personnes concern\u00e9es par une op\u00e9ration de prospection directe au moyen d\u2019un courrier \u00e9lectronique <\/strong>(cf. article L.34-5 du Code des postes et des communications \u00e9lectroniques)\u00a0: en l\u2019esp\u00e8ce, la Cnil a relev\u00e9 que <strong>cette entreprise n\u2019\u00e9tait en mesure de prouver ni qu\u2019elle-m\u00eame avait recueilli de mani\u00e8re effective le consentement des personnes prospect\u00e9es ni que la soci\u00e9t\u00e9 aupr\u00e8s de laquelle elle avait acquis des fichiers de prospection avait valablement recueilli le consentement de ces personnes<\/strong>. En outre, la Cnil a soulign\u00e9 que l\u2019engagement de cette entreprise \u00e0 l\u2019\u00e9gard de ses partenaires annonceurs de disposer d\u2019une base d\u2019adresses de courrier \u00e9lectronique de personnes ayant donn\u00e9 leur consentement pour recevoir de la prospection commerciale de la part desdits partenaires, par courrier \u00e9lectronique, dans le respect de la r\u00e8glementation relative \u00e0 la protection des donn\u00e9es \u00e0 caract\u00e8re personnel, ne reposait sur aucun \u00e9l\u00e9ment mat\u00e9rialisant l\u2019existence du consentement des personnes concern\u00e9es ni permettant de le d\u00e9montrer, par exemple par des v\u00e9rifications qui auraient \u00e9t\u00e9 op\u00e9r\u00e9es pr\u00e9alablement aupr\u00e8s des fournisseurs des fichiers de prospection sur ce point ou en recueillant directement un tel consentement et en le documentant ;<\/li>\n<\/ul>\n<p>&nbsp;<\/p>\n<ul>\n<li><strong>manquement \u00e0 l\u2019obligation de veiller \u00e0 l\u2019ad\u00e9quation, \u00e0 la pertinence et au caract\u00e8re non excessif des donn\u00e9es \u00e0 caract\u00e8re personnel trait\u00e9es par l\u2019entreprise<\/strong> (cf. article 5 du RGPD)\u00a0: en l\u2019esp\u00e8ce, la Cnil a relev\u00e9 que, si la collecte et le traitement du code postal des personnes concern\u00e9es apparaissaient justifi\u00e9s d\u00e8s lors que l\u2019entreprise pouvait adresser certains messages promotionnels uniquement aux personnes habitant dans des d\u00e9partements cibl\u00e9s, notamment s\u2019agissant de l\u2019envoi de messages promotionnels dans le secteur immobilier, <strong>le num\u00e9ro de t\u00e9l\u00e9phone, qui n\u2019\u00e9tait pas exploit\u00e9 par l\u2019entreprise, qui adressait uniquement de la prospection par courrier \u00e9lectronique, n\u2019aurait pas d\u00fb \u00eatre collect\u00e9 et trait\u00e9 par ladite entreprise dans le cadre de l\u2019achat des fichiers de prospection et qu\u2019il aurait d\u00fb, en tout \u00e9tat de cause, \u00eatre imm\u00e9diatement supprim\u00e9 \u00e0 r\u00e9ception desdits fichiers <\/strong>;<\/li>\n<\/ul>\n<p>&nbsp;<\/p>\n<ul>\n<li><strong>manquement \u00e0 l\u2019obligation de traiter les donn\u00e9es \u00e0 caract\u00e8re personnel pendant une dur\u00e9e n&#8217;exc\u00e9dant pas celle n\u00e9cessaire au regard des finalit\u00e9s pour lesquelles elles sont trait\u00e9es<\/strong> (cf. article 5 du RGPD)\u00a0: en l\u2019esp\u00e8ce, la Cnil a constat\u00e9 que l\u2019entreprise conservait des donn\u00e9es de personnes concern\u00e9es ayant uniquement ouvert les courriers \u00e9lectroniques de prospection adress\u00e9s par l\u2019entreprise, sans autre action de leur part, notamment sans avoir cliqu\u00e9 sur un des liens pr\u00e9sents dans lesdits courriers \u00e9lectroniques de prospection, ce qui n\u2019a pas \u00e9t\u00e9 consid\u00e9r\u00e9 par la Cnil comme un \u00ab\u00a0contact\u00a0\u00bb de la part des personnes concern\u00e9es, la Cnil rappelant que <strong>le point de d\u00e9part de la dur\u00e9e de conservation de trois ans ne pouvait consister en la simple ouverture d\u2019un courrier \u00e9lectronique et que le dernier contact \u00e9manant des personnes concern\u00e9es devait \u00eatre mat\u00e9rialis\u00e9 par exemple par un clic sur un lien hypertexte contenu dans un courrier \u00e9lectronique <\/strong>;<\/li>\n<\/ul>\n<p>&nbsp;<\/p>\n<ul>\n<li><strong>manquement \u00e0 l\u2019obligation d\u2019information des personnes concern\u00e9es dont les donn\u00e9es ont \u00e9t\u00e9 collect\u00e9es indirectement<\/strong> (cf. article 14 du RGPD)\u00a0: en l\u2019esp\u00e8ce, la Cnil a constat\u00e9 que les personnes concern\u00e9es dont les donn\u00e9es avaient \u00e9t\u00e9 collect\u00e9es de mani\u00e8re indirecte \u00e9taient inform\u00e9es du traitement de leurs donn\u00e9es \u00e0 caract\u00e8re personnel par l\u2019entreprise en cause par le biais d\u2019une mention type \u00ab\u00a0all\u00e9g\u00e9e\u00a0\u00bb appos\u00e9e en bas des courriers \u00e9lectroniques qui leur \u00e9taient adress\u00e9s. Or, la Cnil a consid\u00e9r\u00e9 qu\u2019une telle mention ne comportait pas l\u2019ensemble des \u00e9l\u00e9ments requis et qu\u2019elle ne renvoyait pas vers une mention d\u2019information plus compl\u00e8te\u00a0;<\/li>\n<\/ul>\n<p>&nbsp;<\/p>\n<ul>\n<li><strong>manquement \u00e0 l\u2019obligation de prendre en compte le droit d\u2019opposition des personnes concern\u00e9es <\/strong>(cf. article 21 du RGPD)\u00a0: en l\u2019esp\u00e8ce, la Cnil a constat\u00e9 que bien qu\u2019un lien permettant de s&#8217;opposer \u00e0 la r\u00e9ception de nouveaux courriers \u00e9lectroniques de prospection \u00e9tait pr\u00e9sent en bas des courriers \u00e9lectroniques envoy\u00e9s par l\u2019entreprise en cause, <strong>le fait de cliquer sur ce lien n\u2019\u00e9tait pas effectivement suivi d\u2019effets d\u00e8s lors que la personne \u00e9tait d\u00e9sabonn\u00e9e du compte utilis\u00e9 pour l&#8217;envoi de la campagne de prospection concern\u00e9e mais pas des autres comptes utilis\u00e9s par l\u2019entreprise pour d&#8217;autres campagnes<\/strong> et que l\u2019entreprise aurait d\u00fb offrir aux personnes concern\u00e9es des <strong>m\u00e9canismes satisfaisants leur permettant de se d\u00e9sinscrire de l\u2019ensemble des comptes et inviter lesdites personnes \u00e0 utiliser ces m\u00e9canismes pour exercer leur droit d\u2019opposition <\/strong>;<\/li>\n<\/ul>\n<p>&nbsp;<\/p>\n<ul>\n<li><strong>manquement \u00e0 l\u2019obligation d\u2019encadrer contractuellement ses relations avec ses sous-traitants<\/strong> (cf. article 28 du RGPD)\u00a0: en l\u2019esp\u00e8ce, la Cnil a constat\u00e9 que certaines stipulations obligatoires pr\u00e9vues par la r\u00e8glementation applicable en mati\u00e8re de protection des donn\u00e9es \u00e0 caract\u00e8re personnel ne figuraient pas dans le contrat conclu par l\u2019entreprise en cause avec son sous-traitant charg\u00e9 de la diffusion technique des campagnes de prospection, de l\u2019h\u00e9bergement de sa base de donn\u00e9es et du traitement des campagnes publicitaires des annonceurs.<\/li>\n<\/ul>\n<p>&nbsp;<\/p>\n<p>En outre, <strong>la Cnil a relev\u00e9 que l\u2019entreprise en cause agissait en qualit\u00e9 de responsable des traitements relatifs \u00e0 la prospection commerciale ainsi r\u00e9alis\u00e9e pour le compte des annonceurs<\/strong> d\u00e8s lors que\u00a0:<\/p>\n<p>&nbsp;<\/p>\n<ul>\n<li>la mise \u00e0 disposition de sa base de prospects \u00e0 des fins de prospection commerciale \u00e9tait au c\u0153ur de l\u2019activit\u00e9 de cette entreprise. En outre, cette derni\u00e8re s\u2019engageait contractuellement vis-\u00e0-vis des annonceurs \u00e0 disposer d\u2019adresses \u00e9lectroniques d\u2019internautes ayant donn\u00e9 leur consentement \u00e0 recevoir des courriers \u00e9lectroniques publicitaires de la part de personnes tierces et \u00e9tait r\u00e9mun\u00e9r\u00e9e pour ce faire par ses partenaires annonceurs\u00a0;<\/li>\n<li>l\u2019entreprise en cause \u00e9tait \u00ab\u00a0propri\u00e9taire\u00a0\u00bb de la base de donn\u00e9es utilis\u00e9e dans le cadre des campagnes de prospection, les annonceurs et agences web ne fournissant pas les donn\u00e9es \u00e0 caract\u00e8re personnel des prospects \u00e0 contacter et n\u2019ayant pas acc\u00e8s aux donn\u00e9es \u00e0 caract\u00e8re personnel desdits prospects\u00a0;<\/li>\n<li>c\u2019est bien cette entreprise qui d\u00e9finissait les donn\u00e9es \u00e0 caract\u00e8re personnel qui figuraient dans sa base de prospects, les dur\u00e9es pendant lesquelles ces donn\u00e9es y \u00e9taient conserv\u00e9es et les \u00e9ventuelles mises \u00e0 jour devant \u00eatre op\u00e9r\u00e9es.<\/li>\n<\/ul>\n<p>&nbsp;<\/p>\n<p>Pour autant,<strong> la Cnil a consid\u00e9r\u00e9 qu\u2019en l\u2019esp\u00e8ce il n\u2019\u00e9tait pas n\u00e9cessaire de se prononcer sur une \u00e9ventuelle responsabilit\u00e9 conjointe des partenaires annonceurs de l\u2019entreprise en cause, laissant subsister une certaine incertitude quant \u00e0 la qualification de ces partenaires\u2026<\/strong><\/p>\n<p>&nbsp;<\/p>\n<p>&nbsp;<\/p>\n<h2><strong>Condamnation d\u2019une petite \/ moyenne entreprise (\u00ab\u00a0PME\u00a0\u00bb)<\/strong><\/h2>\n<p>Par une autre d\u00e9lib\u00e9ration en date du 8 d\u00e9cembre dernier (cf. <a href=\"https:\/\/www.legifrance.gouv.fr\/cnil\/id\/CNILTEXT000042848036\" target=\"_blank\" rel=\"noopener\">D\u00e9lib\u00e9ration n\u00b0SAN-2020-018 du 8 d\u00e9cembre 2020<\/a>), <strong>la Cnil a condamn\u00e9 \u00e0 une amende de 20\u00a0000 euros une PME sp\u00e9cialis\u00e9e dans la pr\u00e9paration et la livraison de repas \u00e0 destination d\u2019employ\u00e9s de bureaux et a prononc\u00e9 \u00e0 son encontre une injonction de mettre en conformit\u00e9 le traitement de donn\u00e9es \u00e0 caract\u00e8re personnel concern\u00e9 par le contr\u00f4le de la Cnil, et ce au titre des manquements suivants\u00a0:<\/strong><\/p>\n<p>&nbsp;<\/p>\n<ul>\n<li><strong>manquement relatif \u00e0 l\u2019obligation de recueillir le consentement de la personne concern\u00e9e par une op\u00e9ration de prospection directe au moyen d\u2019un syst\u00e8me automatis\u00e9 de communications \u00e9lectroniques <\/strong>(cf. article L. 34-5 du Code des postes et des communications \u00e9lectroniques)\u00a0: en l\u2019esp\u00e8ce, la soci\u00e9t\u00e9 en cause constituait sa base de donn\u00e9es de prospects \u00e0 partir de donn\u00e9es \u00e0 caract\u00e8re personnel accessibles en ligne sur un r\u00e9seau social professionnel ainsi qu\u2019\u00e0 partir de fichiers de prospects fournis par des tiers. La Cnil a relev\u00e9 que le r\u00e9seau social professionnel en question permettait \u00e0 des personnes de s\u2019inscrire afin d\u2019entrer en relation avec des professionnels, dans le cadre d\u2019une recherche d\u2019emploi, ou encore de partager des informations avec leur r\u00e9seau professionnel et d\u2019\u00e9tendre ce r\u00e9seau professionnel. Aussi, la Cnil a consid\u00e9r\u00e9 que <strong>les messages de prospection envoy\u00e9s par la soci\u00e9t\u00e9 en cause pour la vente de repas sur le lieu de travail des personnes n\u2019avaient que peu de lien avec l\u2019activit\u00e9 professionnelle des prospects, et que de tels op\u00e9rations de traitement \u00e0 des fins de prospection ne pouvait reposer sur l\u2019int\u00e9r\u00eat l\u00e9gitime du responsable de traitement<\/strong> (cf. exception dite \u00ab\u00a0B to B\u00a0\u00bb \u00e9labor\u00e9e par la Cnil aux termes de laquelle la prospection directe par courrier \u00e9lectronique entre professionnels est autoris\u00e9e, sans recueil pr\u00e9alable du consentement, \u00e0 condition que la sollicitation soit adress\u00e9e sur une adresse de courrier \u00e9lectronique professionnelle et que l\u2019objet de la sollicitation soit en rapport avec la profession de la personne sollicit\u00e9e) <strong>mais qu\u2019au contraire le consentement des personnes concern\u00e9es \u00e0 cette fin aurait d\u00fb \u00eatre recueilli<\/strong>. En outre, la Cnil a consid\u00e9r\u00e9 que devaient \u00eatre supprim\u00e9es les donn\u00e9es \u00e0 caract\u00e8re personnel trait\u00e9es sans recueil pr\u00e9alable d\u2019un consentement mais que tel n\u2019\u00e9tait pas n\u00e9cessaire s\u2019agissant des donn\u00e9es \u00e0 caract\u00e8re personnel de personnes devenues clientes de la soci\u00e9t\u00e9. Par ailleurs, la Cnil a constat\u00e9 que, lors de la cr\u00e9ation de leur compte par les personnes concern\u00e9es sur le site internet ou l\u2019application mobile de la soci\u00e9t\u00e9 en cause, leur consentement \u00e0 recevoir des messages de prospection directe par courrier \u00e9lectronique aurait \u00e9galement d\u00fb \u00eatre recueilli pour pouvoir proc\u00e9der \u00e0 de telles op\u00e9rations\u00a0;<\/li>\n<\/ul>\n<p>&nbsp;<\/p>\n<ul>\n<li><strong>manquement relatif \u00e0 l\u2019obligation d\u2019informer les personnes concern\u00e9es <\/strong>(cf. articles 12 et 13 du RGPD)\u00a0: en l\u2019esp\u00e8ce, la Cnil a relev\u00e9 que les personnes concern\u00e9es n\u2019\u00e9tait pas inform\u00e9es de mani\u00e8re compl\u00e8te et accessible s\u2019agissant du traitement de leurs donn\u00e9es \u00e0 caract\u00e8re personnel par la soci\u00e9t\u00e9 en cause, la Cnil rappelant \u00e0 cette \u00e9gard qu\u2019il convenait d\u2019indiquer, pour chaque traitement, quelle base juridique fondait celui-ci, ainsi que l\u2019int\u00e9r\u00eat l\u00e9gitime poursuivi par le responsable de traitement lorsqu\u2019un traitement de donn\u00e9es \u00e0 caract\u00e8re personnel s\u2019appuyait sur un tel fondement juridique, tout en indiquant que s\u2019il n\u2019\u00e9tait pas requis de fournir l\u2019identit\u00e9 de l\u2019int\u00e9gralit\u00e9 des destinataires des donn\u00e9es, il convenait toutefois <em>a minima<\/em> d\u2019informer les personnes des cat\u00e9gories de destinataires desdites donn\u00e9es. En outre, la Cnil a relev\u00e9 qu\u2019aucune mention d\u2019information n\u2019\u00e9tait fournie aux personnes concern\u00e9es lors de la cr\u00e9ation de compte sur l\u2019application mobile de la soci\u00e9t\u00e9 en cause\u00a0;<\/li>\n<\/ul>\n<p>&nbsp;<\/p>\n<ul>\n<li><strong>manquement relatif \u00e0 l\u2019obligation de respecter le droit d\u2019acc\u00e8s des personnes<\/strong> (cf. article 15 du RGPD) : en l\u2019esp\u00e8ce, la Cnil a relev\u00e9 que la soci\u00e9t\u00e9 en cause avait manqu\u00e9 \u00e0 son obligation de fournir \u00e0 des personnes concern\u00e9es en ayant fait la demande une copie des donn\u00e9es \u00e0 caract\u00e8re personnel les concernant qu\u2019elle d\u00e9tenait dans sa base de donn\u00e9es, ainsi qu\u2019une information relative \u00e0 la source de ces donn\u00e9es ;<\/li>\n<\/ul>\n<p>&nbsp;<\/p>\n<ul>\n<li><strong>manquement relatif \u00e0 l\u2019obligation d\u2019assurer la s\u00e9curit\u00e9 des donn\u00e9es \u00e0 caract\u00e8re personnel<\/strong> (cf. article 32 du RGPD)\u00a0: en l\u2019esp\u00e8ce, la Cnil a consid\u00e9r\u00e9 que la soci\u00e9t\u00e9 en cause n\u2019assurait <strong>pas un niveau de s\u00e9curit\u00e9 et de robustesse suffisant s\u2019agissant des mots de passe permettant aux personnes concern\u00e9es d\u2019acc\u00e9der \u00e0 leur compte en ligne sur le site internet ou l\u2019application mobile de ladite soci\u00e9t\u00e9<\/strong> d\u00e8s lors qu\u2019un mot de passe compos\u00e9 d\u2019un seul caract\u00e8re \u00e9tait accept\u00e9 lors de la cr\u00e9ation d\u2019un compte par une personne via l\u2019application mobile et qu\u2019un mot de passe compos\u00e9 de six caract\u00e8res \u00e9tait accept\u00e9 lors de la cr\u00e9ation d\u2019un compte via le site internet de la soci\u00e9t\u00e9, ce qui n\u2019\u00e9tait pas conforme aux <a href=\"https:\/\/www.legifrance.gouv.fr\/jorf\/id\/JORFTEXT000033928007\/#:~:text=La%20commission%20recommande%20que%20le,la%20constatation%20de%20la%20violation.\" target=\"_blank\" rel=\"noopener\">recommandations de la Cnil en la mati\u00e8re<\/a> et conduisait \u00e0 un risque de compromission des comptes associ\u00e9s et des donn\u00e9es qu\u2019ils contiennent.<\/li>\n<\/ul>\n<p>&nbsp;<\/p>\n<p>A cette occasion, la Cnil a \u00e9galement rappel\u00e9 qu\u2019elle \u00e9tait comp\u00e9tente pour sanctionner un manquement aux dispositions de l\u2019article L.34-5 du Code des postes et des communications \u00e9lectroniques pour ce qui concerne les op\u00e9rations de prospection directe utilisant les coordonn\u00e9es d\u2019une personne physique.<\/p>\n<p>&nbsp;<\/p>\n<p style=\"text-align: center;\">*\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 *<\/p>\n<p style=\"text-align: center;\">*<\/p>\n<p>&nbsp;<\/p>\n<p><strong>Ces d\u00e9cisions sont l\u2019occasion de rappeler que la r\u00e8glementation applicable en mati\u00e8re de protection des donn\u00e9es \u00e0 caract\u00e8re personnel s\u2019applique \u00e0 tous les organismes traitant des donn\u00e9es \u00e0 caract\u00e8re personnel, quelles que soient leur forme, leur taille et\/ou leur activit\u00e9. <\/strong><\/p>\n<p>Bien entendu, le montant de l\u2019amende en cas de manquement d\u00e9pend de divers facteurs, et notamment du nombre et de la gravit\u00e9 des manquements, des actions correctrices d\u00e9ploy\u00e9es,\u2026 le prononc\u00e9 d\u2019une telle amende devant en tout \u00e9tat de cause \u00eatre effectif, proportionn\u00e9 et dissuasif (cf. article 83 du RGPD), ce que la Cnil rappelle d\u2019ailleurs dans ses d\u00e9cisions.<\/p>\n<p>&nbsp;<\/p>\n<p><em>Le P\u00f4le \u00ab IT &amp; data protection \u00bb d\u2019AGIL\u2019IT se tient \u00e0 votre disposition pour vous accompagner en vue d\u2019une mise et\/ou d\u2019un maintien en conformit\u00e9 de vos pratiques au regard de la r\u00e8glementation applicable en mati\u00e8re de protection des donn\u00e9es \u00e0 caract\u00e8re personnel.<\/em><\/p>\n<p>&nbsp;<\/p>\n<p>&nbsp;<\/p>\n<p>Par\u00a0<a href=\"https:\/\/www.agilit.law\/\" target=\"_blank\" rel=\"noopener\">AGIL\u2019IT<\/a>\u00a0\u2013 P\u00f4le\u00a0<a href=\"https:\/\/www.agilit.law\/expertises\/technologies-de-linformation-donnees-personnelles\/\" target=\"_blank\" rel=\"noopener\">IT<\/a>,\u00a0<a href=\"https:\/\/www.agilit.law\/expertises\/donnees-a-caractere-personnel\/\" target=\"_blank\" rel=\"noopener\">Data protection<\/a>\u00a0&amp;\u00a0<a href=\"https:\/\/www.agilit.law\/expertises\/telecommunications\/\" target=\"_blank\" rel=\"noopener\">T\u00e9l\u00e9coms<\/a><\/p>\n<p><a href=\"https:\/\/www.agilit.law\/cabinet\/equipe\/laure-landes-gronowski\/\" target=\"_blank\" rel=\"noopener\">Laure LANDES-GRONOWSKI<\/a>, Avocate associ\u00e9e<\/p>\n<p><a href=\"https:\/\/www.agilit.law\/cabinet\/equipe\/marie-miliotis\/\" target=\"_blank\" rel=\"noopener\">Marie MILIOTIS<\/a>, Avocate<\/p>\n<p>&nbsp;<\/p>\n","protected":false},"excerpt":{"rendered":"<p>La formation restreinte de la Commission nationale de l&#8217;informatique et des libert\u00e9s (ou \u00ab\u00a0Cnil\u00a0\u00bb) est venue r\u00e9cemment sanctionner des petites et moyennes structures au titre de divers manquements \u00e0 la r\u00e8glementation applicable en mati\u00e8re de protection des donn\u00e9es \u00e0 caract\u00e8re personnel. Si les montants des amendes administratives prononc\u00e9es ne sont pas aussi \u00e9lev\u00e9s que ceux&hellip;<\/p>\n","protected":false},"author":4,"featured_media":6235,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[150,73],"tags":[],"coauthors":[94,113],"yoast_head":"<!-- This site is optimized with the Yoast SEO plugin v21.3 - https:\/\/yoast.com\/wordpress\/plugins\/seo\/ -->\n<title>TPE, PME et lib\u00e9raux\u00a0: quelles que soient la taille et l\u2019activit\u00e9 de votre organisme, la r\u00e8glementation en mati\u00e8re de protection des donn\u00e9es \u00e0 caract\u00e8re personnel vous est applicable\u00a0! - AGIL&#039;IT<\/title>\n<meta name=\"robots\" content=\"index, follow, max-snippet:-1, max-image-preview:large, max-video-preview:-1\" \/>\n<link rel=\"canonical\" href=\"https:\/\/www.agilit.law\/en\/donnees-caractere-personnel\/tpe-pme-et-liberaux-quelles-que-soient-la-taille-et-lactivite-de-votre-organisme-la-reglementation-en-matiere-de-protection-des-donnees-a-caractere-personnel-vous-est-applicable\/\" \/>\n<meta property=\"og:locale\" content=\"en_US\" \/>\n<meta property=\"og:type\" content=\"article\" \/>\n<meta property=\"og:title\" content=\"TPE, PME et lib\u00e9raux\u00a0: quelles que soient la taille et l\u2019activit\u00e9 de votre organisme, la r\u00e8glementation en mati\u00e8re de protection des donn\u00e9es \u00e0 caract\u00e8re personnel vous est applicable\u00a0! - AGIL&#039;IT\" \/>\n<meta property=\"og:description\" content=\"La formation restreinte de la Commission nationale de l&#8217;informatique et des libert\u00e9s (ou \u00ab\u00a0Cnil\u00a0\u00bb) est venue r\u00e9cemment sanctionner des petites et moyennes structures au titre de divers manquements \u00e0 la r\u00e8glementation applicable en mati\u00e8re de protection des donn\u00e9es \u00e0 caract\u00e8re personnel. Si les montants des amendes administratives prononc\u00e9es ne sont pas aussi \u00e9lev\u00e9s que ceux&hellip;\" \/>\n<meta property=\"og:url\" content=\"https:\/\/www.agilit.law\/en\/donnees-caractere-personnel\/tpe-pme-et-liberaux-quelles-que-soient-la-taille-et-lactivite-de-votre-organisme-la-reglementation-en-matiere-de-protection-des-donnees-a-caractere-personnel-vous-est-applicable\/\" \/>\n<meta property=\"og:site_name\" content=\"AGIL&#039;IT\" \/>\n<meta property=\"article:published_time\" content=\"2021-01-11T16:14:29+00:00\" \/>\n<meta property=\"article:modified_time\" content=\"2021-10-26T22:17:38+00:00\" \/>\n<meta property=\"og:image\" content=\"https:\/\/www.agilit.law\/wp-content\/uploads\/2020\/03\/shutterstock_619615334.jpg\" \/>\n\t<meta property=\"og:image:width\" content=\"1500\" \/>\n\t<meta property=\"og:image:height\" content=\"813\" \/>\n\t<meta property=\"og:image:type\" content=\"image\/jpeg\" \/>\n<meta name=\"author\" content=\"Laure Landes-Gronowski, Marie Miliotis\" \/>\n<meta name=\"twitter:card\" content=\"summary_large_image\" \/>\n<meta name=\"twitter:label1\" content=\"Written by\" \/>\n\t<meta name=\"twitter:data1\" content=\"Laure Landes-Gronowski, Marie Miliotis\" \/>\n\t<meta name=\"twitter:label2\" content=\"Est. reading time\" \/>\n\t<meta name=\"twitter:data2\" content=\"11 minutes\" \/>\n<script type=\"application\/ld+json\" class=\"yoast-schema-graph\">{\"@context\":\"https:\/\/schema.org\",\"@graph\":[{\"@type\":\"WebPage\",\"@id\":\"https:\/\/www.agilit.law\/en\/donnees-caractere-personnel\/tpe-pme-et-liberaux-quelles-que-soient-la-taille-et-lactivite-de-votre-organisme-la-reglementation-en-matiere-de-protection-des-donnees-a-caractere-personnel-vous-est-applicable\/\",\"url\":\"https:\/\/www.agilit.law\/en\/donnees-caractere-personnel\/tpe-pme-et-liberaux-quelles-que-soient-la-taille-et-lactivite-de-votre-organisme-la-reglementation-en-matiere-de-protection-des-donnees-a-caractere-personnel-vous-est-applicable\/\",\"name\":\"TPE, PME et lib\u00e9raux\u00a0: quelles que soient la taille et l\u2019activit\u00e9 de votre organisme, la r\u00e8glementation en mati\u00e8re de protection des donn\u00e9es \u00e0 caract\u00e8re personnel vous est applicable\u00a0! - AGIL&#039;IT\",\"isPartOf\":{\"@id\":\"https:\/\/www.agilit.law\/#website\"},\"datePublished\":\"2021-01-11T16:14:29+00:00\",\"dateModified\":\"2021-10-26T22:17:38+00:00\",\"author\":{\"@id\":\"https:\/\/www.agilit.law\/#\/schema\/person\/f8eb00f4d6ec1b0f2b71fed18a09cd6a\"},\"breadcrumb\":{\"@id\":\"https:\/\/www.agilit.law\/en\/donnees-caractere-personnel\/tpe-pme-et-liberaux-quelles-que-soient-la-taille-et-lactivite-de-votre-organisme-la-reglementation-en-matiere-de-protection-des-donnees-a-caractere-personnel-vous-est-applicable\/#breadcrumb\"},\"inLanguage\":\"en-US\",\"potentialAction\":[{\"@type\":\"ReadAction\",\"target\":[\"https:\/\/www.agilit.law\/en\/donnees-caractere-personnel\/tpe-pme-et-liberaux-quelles-que-soient-la-taille-et-lactivite-de-votre-organisme-la-reglementation-en-matiere-de-protection-des-donnees-a-caractere-personnel-vous-est-applicable\/\"]}]},{\"@type\":\"BreadcrumbList\",\"@id\":\"https:\/\/www.agilit.law\/en\/donnees-caractere-personnel\/tpe-pme-et-liberaux-quelles-que-soient-la-taille-et-lactivite-de-votre-organisme-la-reglementation-en-matiere-de-protection-des-donnees-a-caractere-personnel-vous-est-applicable\/#breadcrumb\",\"itemListElement\":[{\"@type\":\"ListItem\",\"position\":1,\"name\":\"Accueil\",\"item\":\"https:\/\/www.agilit.law\/en\/\"},{\"@type\":\"ListItem\",\"position\":2,\"name\":\"TPE, PME et lib\u00e9raux\u00a0: quelles que soient la taille et l\u2019activit\u00e9 de votre organisme, la r\u00e8glementation en mati\u00e8re de protection des donn\u00e9es \u00e0 caract\u00e8re personnel vous est applicable\u00a0!\"}]},{\"@type\":\"WebSite\",\"@id\":\"https:\/\/www.agilit.law\/#website\",\"url\":\"https:\/\/www.agilit.law\/\",\"name\":\"AGIL&#039;IT\",\"description\":\"Make things simple\",\"potentialAction\":[{\"@type\":\"SearchAction\",\"target\":{\"@type\":\"EntryPoint\",\"urlTemplate\":\"https:\/\/www.agilit.law\/?s={search_term_string}\"},\"query-input\":\"required name=search_term_string\"}],\"inLanguage\":\"en-US\"},{\"@type\":\"Person\",\"@id\":\"https:\/\/www.agilit.law\/#\/schema\/person\/f8eb00f4d6ec1b0f2b71fed18a09cd6a\",\"name\":\"Laure Landes-Gronowski\",\"image\":{\"@type\":\"ImageObject\",\"inLanguage\":\"en-US\",\"@id\":\"https:\/\/www.agilit.law\/#\/schema\/person\/image\/28fdc5034409b7339d9cfb1c7e67a42c\",\"url\":\"https:\/\/secure.gravatar.com\/avatar\/13eb25dedfd6848dcbcfda1a74be2ff1?s=96&d=mm&r=g\",\"contentUrl\":\"https:\/\/secure.gravatar.com\/avatar\/13eb25dedfd6848dcbcfda1a74be2ff1?s=96&d=mm&r=g\",\"caption\":\"Laure Landes-Gronowski\"},\"url\":\"https:\/\/www.agilit.law\/en\/author\/laure\/\"}]}<\/script>\n<!-- \/ Yoast SEO plugin. -->","yoast_head_json":{"title":"TPE, PME et lib\u00e9raux\u00a0: quelles que soient la taille et l\u2019activit\u00e9 de votre organisme, la r\u00e8glementation en mati\u00e8re de protection des donn\u00e9es \u00e0 caract\u00e8re personnel vous est applicable\u00a0! - AGIL&#039;IT","robots":{"index":"index","follow":"follow","max-snippet":"max-snippet:-1","max-image-preview":"max-image-preview:large","max-video-preview":"max-video-preview:-1"},"canonical":"https:\/\/www.agilit.law\/en\/donnees-caractere-personnel\/tpe-pme-et-liberaux-quelles-que-soient-la-taille-et-lactivite-de-votre-organisme-la-reglementation-en-matiere-de-protection-des-donnees-a-caractere-personnel-vous-est-applicable\/","og_locale":"en_US","og_type":"article","og_title":"TPE, PME et lib\u00e9raux\u00a0: quelles que soient la taille et l\u2019activit\u00e9 de votre organisme, la r\u00e8glementation en mati\u00e8re de protection des donn\u00e9es \u00e0 caract\u00e8re personnel vous est applicable\u00a0! - AGIL&#039;IT","og_description":"La formation restreinte de la Commission nationale de l&#8217;informatique et des libert\u00e9s (ou \u00ab\u00a0Cnil\u00a0\u00bb) est venue r\u00e9cemment sanctionner des petites et moyennes structures au titre de divers manquements \u00e0 la r\u00e8glementation applicable en mati\u00e8re de protection des donn\u00e9es \u00e0 caract\u00e8re personnel. Si les montants des amendes administratives prononc\u00e9es ne sont pas aussi \u00e9lev\u00e9s que ceux&hellip;","og_url":"https:\/\/www.agilit.law\/en\/donnees-caractere-personnel\/tpe-pme-et-liberaux-quelles-que-soient-la-taille-et-lactivite-de-votre-organisme-la-reglementation-en-matiere-de-protection-des-donnees-a-caractere-personnel-vous-est-applicable\/","og_site_name":"AGIL&#039;IT","article_published_time":"2021-01-11T16:14:29+00:00","article_modified_time":"2021-10-26T22:17:38+00:00","og_image":[{"width":1500,"height":813,"url":"https:\/\/www.agilit.law\/wp-content\/uploads\/2020\/03\/shutterstock_619615334.jpg","type":"image\/jpeg"}],"author":"Laure Landes-Gronowski, Marie Miliotis","twitter_card":"summary_large_image","twitter_misc":{"Written by":"Laure Landes-Gronowski, Marie Miliotis","Est. reading time":"11 minutes"},"schema":{"@context":"https:\/\/schema.org","@graph":[{"@type":"WebPage","@id":"https:\/\/www.agilit.law\/en\/donnees-caractere-personnel\/tpe-pme-et-liberaux-quelles-que-soient-la-taille-et-lactivite-de-votre-organisme-la-reglementation-en-matiere-de-protection-des-donnees-a-caractere-personnel-vous-est-applicable\/","url":"https:\/\/www.agilit.law\/en\/donnees-caractere-personnel\/tpe-pme-et-liberaux-quelles-que-soient-la-taille-et-lactivite-de-votre-organisme-la-reglementation-en-matiere-de-protection-des-donnees-a-caractere-personnel-vous-est-applicable\/","name":"TPE, PME et lib\u00e9raux\u00a0: quelles que soient la taille et l\u2019activit\u00e9 de votre organisme, la r\u00e8glementation en mati\u00e8re de protection des donn\u00e9es \u00e0 caract\u00e8re personnel vous est applicable\u00a0! - AGIL&#039;IT","isPartOf":{"@id":"https:\/\/www.agilit.law\/#website"},"datePublished":"2021-01-11T16:14:29+00:00","dateModified":"2021-10-26T22:17:38+00:00","author":{"@id":"https:\/\/www.agilit.law\/#\/schema\/person\/f8eb00f4d6ec1b0f2b71fed18a09cd6a"},"breadcrumb":{"@id":"https:\/\/www.agilit.law\/en\/donnees-caractere-personnel\/tpe-pme-et-liberaux-quelles-que-soient-la-taille-et-lactivite-de-votre-organisme-la-reglementation-en-matiere-de-protection-des-donnees-a-caractere-personnel-vous-est-applicable\/#breadcrumb"},"inLanguage":"en-US","potentialAction":[{"@type":"ReadAction","target":["https:\/\/www.agilit.law\/en\/donnees-caractere-personnel\/tpe-pme-et-liberaux-quelles-que-soient-la-taille-et-lactivite-de-votre-organisme-la-reglementation-en-matiere-de-protection-des-donnees-a-caractere-personnel-vous-est-applicable\/"]}]},{"@type":"BreadcrumbList","@id":"https:\/\/www.agilit.law\/en\/donnees-caractere-personnel\/tpe-pme-et-liberaux-quelles-que-soient-la-taille-et-lactivite-de-votre-organisme-la-reglementation-en-matiere-de-protection-des-donnees-a-caractere-personnel-vous-est-applicable\/#breadcrumb","itemListElement":[{"@type":"ListItem","position":1,"name":"Accueil","item":"https:\/\/www.agilit.law\/en\/"},{"@type":"ListItem","position":2,"name":"TPE, PME et lib\u00e9raux\u00a0: quelles que soient la taille et l\u2019activit\u00e9 de votre organisme, la r\u00e8glementation en mati\u00e8re de protection des donn\u00e9es \u00e0 caract\u00e8re personnel vous est applicable\u00a0!"}]},{"@type":"WebSite","@id":"https:\/\/www.agilit.law\/#website","url":"https:\/\/www.agilit.law\/","name":"AGIL&#039;IT","description":"Make things simple","potentialAction":[{"@type":"SearchAction","target":{"@type":"EntryPoint","urlTemplate":"https:\/\/www.agilit.law\/?s={search_term_string}"},"query-input":"required name=search_term_string"}],"inLanguage":"en-US"},{"@type":"Person","@id":"https:\/\/www.agilit.law\/#\/schema\/person\/f8eb00f4d6ec1b0f2b71fed18a09cd6a","name":"Laure Landes-Gronowski","image":{"@type":"ImageObject","inLanguage":"en-US","@id":"https:\/\/www.agilit.law\/#\/schema\/person\/image\/28fdc5034409b7339d9cfb1c7e67a42c","url":"https:\/\/secure.gravatar.com\/avatar\/13eb25dedfd6848dcbcfda1a74be2ff1?s=96&d=mm&r=g","contentUrl":"https:\/\/secure.gravatar.com\/avatar\/13eb25dedfd6848dcbcfda1a74be2ff1?s=96&d=mm&r=g","caption":"Laure Landes-Gronowski"},"url":"https:\/\/www.agilit.law\/en\/author\/laure\/"}]}},"_links":{"self":[{"href":"https:\/\/www.agilit.law\/en\/wp-json\/wp\/v2\/posts\/8728"}],"collection":[{"href":"https:\/\/www.agilit.law\/en\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.agilit.law\/en\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.agilit.law\/en\/wp-json\/wp\/v2\/users\/4"}],"replies":[{"embeddable":true,"href":"https:\/\/www.agilit.law\/en\/wp-json\/wp\/v2\/comments?post=8728"}],"version-history":[{"count":10,"href":"https:\/\/www.agilit.law\/en\/wp-json\/wp\/v2\/posts\/8728\/revisions"}],"predecessor-version":[{"id":9353,"href":"https:\/\/www.agilit.law\/en\/wp-json\/wp\/v2\/posts\/8728\/revisions\/9353"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.agilit.law\/en\/wp-json\/wp\/v2\/media\/6235"}],"wp:attachment":[{"href":"https:\/\/www.agilit.law\/en\/wp-json\/wp\/v2\/media?parent=8728"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.agilit.law\/en\/wp-json\/wp\/v2\/categories?post=8728"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.agilit.law\/en\/wp-json\/wp\/v2\/tags?post=8728"},{"taxonomy":"author","embeddable":true,"href":"https:\/\/www.agilit.law\/en\/wp-json\/wp\/v2\/coauthors?post=8728"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}