Expertises des Systèmes d'information - Avril 2021 - N°467 - Le mensuel du droit de l'informatique et du multimédia - 166

D

O

C

T

R

I

N

E

Le recueil du consentement doit
s'exprimer par un moyen simple
et spécifique, comme par exemple
une case à cocher. Le consentement est exclu en cas de silence ou
de case pré-cochée.
Face à ce comportement litigieux,
la Cnil a enjoint la société Nestor
de supprimer toutes les données
collectées sans consentement des
personnes concernées.
La simple mise à jour de l'application et du site internet ne permet
pas de justifier la suppression
des données collectées sans
consentement.
Par ailleurs, la société Nestor a failli à
l'obligation d'informer les personnes
en application des articles 12 et 13 du
RGPD.
L'article 12 du RGPD prévoit la
transparence des informations et
communications et les modalités de
l'exercice des droits de la personne
concernée tandis que l'article 13
détaille les informations à fournir
lorsque les données personnelles
sont collectées, à savoir :
■	 l'identité et coordonnées du
responsable de traitement,
■	 la finalité et la base juridique
du traitement des données à
caractère personnel,
■	 les destinataires des données
personnelles,
■	 s'il existe un transfert des
données personnelles en
dehors de l'Union européenne, 
■	 la durée de conservation des
données personnelles,
■	 les droits des personnes
concernées,
■	 le droit d'introduire une
réclamation auprès de l'autorité
de contrôle,
■	 le caractère obligatoire ou
facultatif de la collecte des
données à caractère personnel, 
■	 l'existence d'une décision
automatisée,
■	 les traitements mis en place
ultérieurement,
■	 l'origine des données quand
elles ne sont pas collectées
directement auprès de la
personne.

166

Contrairement à ces obligations,
le formulaire d'inscription au
site internet nestorparis.com ne
comportait pas ces informations.
Le site comportait tout de même
une politique de confidentialité
mais incomplète et imprécise à
plusieurs égards, qu'il s'agisse en
particulier des durées de conservation des données à caractère
personnel ou de la possibilité de
transmission des données à des
partenaires. L'application mobile
n'était pas mieux lotie puisqu'aucune information relative à la
protection des données à caractère
personnel n'était transmise aux
utilisateurs créant un compte.
Parant à ces manquements en cours
de procédure, la société Nestor s'est
mise en conformité en insérant
dans le formulaire d'inscription sur
le site internet et sur l'application un
lien vers la politique de confidentialité exhaustive.
Ensuite, la Cnil reprochait à la
société Nestor de n'avoir pas respecté l'obligation du droit d'accès des
personnes prévue à l'article 15 du
RGPD. Cette obligation vise pour la
personne concernée à obtenir du
responsable du traitement l'accès
aux données personnelles à son
sujet notamment la finalité du traitement, les catégories de données
traitées, les destinataires ainsi que
leur source lorsque ces données
n'ont pas été collectées auprès de la
personne concernée.
Dans la réponse à apporter par
le responsable de traitement, si
la demande est électronique, la
réponse doit être électronique. La
copie des données personnelles
ne doit pas comporter les données
d'une autre personne ou porter
atteinte aux droits et libertés
d'autrui.
Les manquements ont été mis en
lumière par deux plaignants reprochant d'une part à la société Nestor
de ne leur avoir pas fourni une
copie de leurs données à caractère
personnel. D'autre part, elle n'avait
EXPERTISES Avril 2021

pas donné d'explications quant à la
source des données les concernant
obtenues indirectement. La société
Nestor avait répondu que partiellement aux demandes d'accès
formulées indiquant simplement
pour un des plaignants sa désinscription des listes de diffusion.
Enfin, le dernier manquement
portait sur l'obligation d'assurer la
sécurité des données à caractère
personnel en application de l'article
32 du RGPD.
Cet article vise les précautions utiles
au regard de la nature des données
et des risques présentés par le traitement, pour préserver la sécurité
des données et notamment empêcher qu'elles soient déformées,
endommagées ou que des tiers y
aient accès, par exemple : « la pseudonymisation, le chiffrement des
données à caractère personnel, les
moyens permettant de garantir la
confidentialité, l'intégrité, la disponibilité et la résilience constantes
des système et services de traitement, des moyens permettant de
rétablir la disponibilité des données
à caractère personnel et l'accès à
celle-ci dans des délais appropriés
en cas d'incident physique ou technique (...) ».
Les critères d'exigences du mot de
passe du site internet et de l'application étaient en cause. Pour la création d'un compte sur le site internet,
un mot de passe de six caractères
était accepté et sur l'application, un
mot de passe d'un caractère, ce qui
était d'évidence insuffisant.
La Cnil rappelle dans sa délibération
les critères de base d'un mot de
passe fort comportant au minimum
douze caractères et au moins une
lettre majuscule, une lettre minuscule, un chiffre et un caractère
spécial. Pour un mot de passe ne
contenant que huit caractères, la
Cnil recommande de prévoir une
mesure complémentaire comme le
blocage du compte après plusieurs
échecs de connexion ou la mise en
place de mécanismes de contrôle
tel que le test « Captcha ».
http://www.nestorparis.com
Expertises des Systèmes d'information - Avril 2021 - N°467 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Avril 2021 - N°467 - Le mensuel du droit de l'informatique et du multimédia
