Expertises des Systèmes d'information - Janvier 2021 - N°464 - Le mensuel du droit de l'informatique et du multimédia - 31

Enfin, la Cnil relève que les
personnes concernées n'étaient
pas informées, pour l'ensemble
de leurs données de la durée de
conservation. En effet, l'article
13.2 f du RGPD impose que les
personnes soient informées de
la durée de conservation des
données ou des critères utilisés
pour déterminer cette durée. Dans
la décision n° SAN 2020-009, la
formation restreinte prend soin de
rappeler les préconisations du G29
qui recommande que  «  la durée
de conservation [soit] formulée
de manière à ce que la personne
concernée puisse évaluer, selon
la situation dans laquelle elle se
trouve, quelle sera la période de
conservation s'agissant de données
spécifiques ou en cas de finalités
spécifiques. Le responsable du
traitement ne peut se contenter
de déclarer de façon générale que
les données à caractère personnel
seront conservées aussi longtemps
que la finalité légitime du traitement
l'exige. Le cas échéant, différentes
périodes de stockage devraient être
mentionnées pour les différentes
catégories de données à caractère
personnel et/ou les différentes finalités de traitement, notamment les
périodes à des fins archivistiques. »
L'emploi de formules vagues
telles «  les délais de prescription
légale applicable  » ou «  la conservation de vos données varie selon
les réglementations et loi applicables  » est donc non conforme
aux exigences de transparence
imposées par le RGPD.
Il appartenait aux sociétés contrôlées de prévoir dans leurs mentions
d'information les différentes durées
de conservation pour l'ensemble
des données ou des finalités,
notamment s'agissant des données
de navigation ou des données relatives aux achats effectués.



En conséquence, et pour toutes
les raisons sus-évoquées, la Cnil a
constaté que les sociétés du groupe
Carrefour avaient manqué à l'obligation d'information incombant
à tout responsable de traitement
en application de l'article 13 du
RGPD, laquelle doit être transparente, compréhensible et aisément
accessible.

observé que les montants proposés par le rapporteur (ignorés)
ont été atténués par la formation
restreinte, compte tenu du degré
de coopération des sociétés avec
la Cnil, et des efforts importants
engagés pendant l'instruction
pour atteindre une conformité
totale puisque l'ensemble des
manquements ont été corrigés.

En application des articles 82 et 83
du RGPD, il était loisible à la Cnil de
prononcer à l'encontre des sociétés poursuivies des injonctions
ou mises en demeure d'avoir à se
conformer à la réglementation,
et d'avoir à en justifier dans un
certain délai.

La Cnil a pris en compte le chiffre
d'affaires réalisé par la Société
Carrefour France et par les filiales
qu'elle détient et qui ont bénéficié des
traitements, appréciation extensive
de la notion d'entreprise conforme
aux articles 101 et 102 du TFUE.

Toutefois, dans ces deux affaires,
l'autorité de contrôle, eu égard
aux efforts mis en œuvre par les
responsables de traitement au
cours de l'instruction lesquels
étaient en conformité à la date
du dernier contrôle, a considéré
qu'une injonction ne se justifiait
pas. Elle a d'ailleurs pris soin
de relever l'important travail de
mise en conformité fourni par les
sociétés, s'agissant des mentions
d'information présentes sur les
différents supports. L'information
désormais délivrée par les sociétés du groupe était transparente,
aisément accessible, et complète
à la date à laquelle la formation
restreinte a statué.
Cependant, eu égard au nombre
de manquements constatés et
caractérisés nés d'un défaut
d'anticipation des conséquences
de l'entrée en application du
RGPD, et eu égard au nombre de
personnes concernées dont les
droits n'ont pas été respectés, la
Cnil n'a eu d'autre choix que de
condamner les responsables de
traitement à de lourdes amendes
administratives. Il sera cependant

Elle a donc estimé qu'une amende
d'un montant de 2  250  000  €
était justifiée et proportionnée
aux manquements relevés et à la
situation de la société Carrefour
France, compte tenu des spécificités du modèle économique de
la grande distribution caractérisé
par un chiffre d'affaires élevé au
regard des résultats nets dégagés
par l'activité dont les marges sont
faibles.
Ces décisions révèlent des indices
précieux d'une information conforme au sens du RGPD, dont il
faut tenir compte au moment de
leur rédaction. Elles ont également
le mérite de rappeler que tous les
secteurs sont concernés par le
RGPD.

Stéphane BAÏKOFF
Avocat Associée
Kacertis Avocats

Notes
(1)	

https://www.cnil.fr/sites/default/files/atoms/
files/wp260_guidelines-transparence-fr.pdf

Vous avez envie de vous exprimer sur un sujet qui vous tient à cœur, de partager votre analyse
avec la communauté des lecteurs d'Expertises, d'exposer un point de vue différent sur un article
déjà publié, de lancer un débat sur un thème émergent, ou simplement de commenter l'actualité
du droit du numérique ?

Contactez la rédactrice en chef d'Expertises Sylvie Rozenfeld sr@expertises.info

EXPERTISES Janvier 2021

31
https://www.cnil.fr/sites/default/files/atoms/files/wp260_guidelines-transparence-fr.pdf
Expertises des Systèmes d'information - Janvier 2021 - N°464 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Janvier 2021 - N°464 - Le mensuel du droit de l'informatique et du multimédia
