Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A
Délibération n° 24FR/2022 du 13 décembre 2022
La Commission nationale pour la protection des données siégeant en formation restreinte,
composée de Madame Tine A. Larsen, présidente, et de Messieurs Thierry Lallemang et Alain
Herrmann, commissaires ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif
à la protection des personnes physiques à l’égard du traitement des données à caractère
personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection
des données et du régime général sur la protection des données, notamment son article 41 ;
Vu le règlement d’ordre intérieur de la Commission nationale pour la protection des données
adopté par décision n°3AD/2020 en date du 22 janvier 2020, notamment son article 10.2 ;
Vu le règlement de la Commission nationale pour la protection des données relatif à la
procédure d’enquête adopté par décision n°4AD/2020 en date du 22 janvier 2020, notamment
son article 9 ;
Considérant ce qui suit :
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A
1/31
I. Faits et procédure
1. Lors de sa séance de délibération du 17 juillet 2020, la Commission nationale pour la
protection des données siégeant en formation plénière (ci-après : la « Formation
Plénière ») a décidé d’ouvrir une enquête auprès de la Société A sur base de l'article 37
de la loi du 1er août 2018 portant organisation de la Commission nationale pour la
protection des données et du régime général sur la protection des données (ci-après : la
« loi du 1er août 2018 ») et de désigner Monsieur Christophe Buschmann comme chef
d’enquête.
Ladite décision a précisé que l’enquête menée par la Commission nationale pour la
protection des données (ci- après : la « CNPD » ou la « Commission nationale ») avait
pour objet de contrôler l'application et le respect du RGPD et de la loi du 1er août 2018, et
plus précisément la conformité aux articles 12.1, 13 et 14 du RGPD.
2. La Société A est […] inscrite au Registre de Commerce et des Sociétés de Luxembourg
sous le numéro [...], avec siège social à L - […] (ci-après : le « contrôlé »).
Le contrôlé [est actif dans l’exploitation de portails internet et l’offre de services via ces
portails]1.
3. La décision de la Commission nationale siégeant en formation restreinte (ci-après: la
« Formation Restreinte ») sur l’issue de l’enquête se basera
- sur les traitements effectués par le contrôlé en rapport avec l’exploitation du site
internet […] et de l'application mobile […] (ci-après : le « site internet » respectivement
l’ « application mobile »), et contrôlés par les agents de la CNPD ; et
- sur les dispositions légales et réglementaires prises en compte par le chef d’enquête
dans sa communication des griefs.
4. Par courrier du 26 août 2020, le chef d’enquête a envoyé un questionnaire préliminaire au
contrôlé. Ce moment est référencé ultérieurement dans cette décision comme « au début
de l’enquête ». Le contrôlé a répondu par courrier en date du 13 septembre 20202. Après
une visite sur place qui a eu lieu le 6 octobre 2020, le contrôlé et le service d’enquêtes de
la CNPD ont procédé à un échange de courriers.3
1 [...].
2 Ce courrier et ses annexes ont été transmis à la CNPD par courriel du même jour.
3 Cf. communication des griefs, point 9 pour une liste détaillée des échanges tout au long de l'enquête.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A
2/31
5. Suite à cet échange, le chef d’enquête a établi le Rapport d’enquête n°[…] fondé sur la
délibération du 17 juillet 2020 portant sur la conformité aux articles 12 point 1, 13 et 14 du
RGPD daté du 10 mai 2021 (ci-après : le « rapport d’enquête »).
Il ressort du rapport d’enquête4 qu’afin de structurer les travaux d’enquête, le chef
d’enquête a défini neuf objectifs de contrôle, à savoir :
1) s'assurer que les informations sont disponibles ;
2) s'assurer que les informations sont complètes ;
3) s’assurer que l’absence d’une information est motivée par une exception valide ;
4) s'assurer que les informations sont transmises selon des moyens appropriés ;
5) s'assurer que les informations sont concises, transparentes, compréhensibles, et
transmises en des termes clairs et simples ;
6) s'assurer que les informations sont adaptées à la catégorie de personnes concernées ;
7) s'assurer que les informations sont gratuites ;
8) s'assurer que les informations sont aisément accessibles ; et
9) s'assurer que les informations sont transmises lors des étapes-clé du traitement.
Il est précisé dans le rapport d’enquête que les agents de la CNPD n’ont pas contrôlé « la
légalité des traitements effectués par le contrôlé ». Dans ce contexte, il est donné
l’exemple suivant : « dans le cas où le responsable du traitement informe les personnes
concernées que leurs données à caractère personnel sont conservées pendant un délai
de 2 ans, les agents de la CNPD pourront vérifier que le responsable du traitement ne
conserve pas lesdites données pour une durée différente. En revanche, les agents de la
CNPD ne se prononceront pas quant à la légalité de ce délai de 2 ans appliqué par le
responsable du traitement »5.
Par ailleurs, l’enquête s’est focalisée sur les utilisateurs du site internet et de l’application
mobile, et n’a pas visé d’autres catégories de personnes concernées telles que les salariés
du contrôlé.6
4 Rapport d’enquête, page 7, point « 3.1 Objectifs de contrôle ».
5 Rapport d’enquête, page 6, point « 2.3 Réserves ».
6 Rapport d’enquête, page 6, point « 2.2 Périmètre ».
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A
3/31
Le rapport d’enquête a pour annexes les pièces recueillies par le service d’enquêtes de la
CNPD et sur lesquelles le rapport d’enquête est basé (annexe 1), ainsi que le compte-
rendu de visite par rapport à la visite sur place des agents de la CNPD du 6 octobre 2020
précitée (annexe 2) (ci-après : le « compte-rendu »).
6. Lors de sa délibération du 23 juillet 2021, la Formation Restreinte a désigné Monsieur Marc
Lemmer, commissaire, comme chef d'enquête en remplacement de Monsieur Christophe
Buschmann, démissionnaire.
7. A l'issue de son instruction, le chef d'enquête a notifié au contrôlé en date du
13 janvier 2022 une communication des griefs détaillant les manquements qu'il estimait
constitués en l'espèce par rapport aux exigences prescrites par l’article 12.1 du RGPD
(obligation de transparence) et par l'article 13 du RGPD (droit à l’information).
Le chef d’enquête a proposé à la Formation Restreinte d’adopter cinq mesures correctrices
différentes, ainsi que d’infliger au contrôlé une amende administrative d’un montant de
3.700 euros.
La faculté de formuler ses observations écrites sur la communication des griefs a été
offerte au contrôlé.7 Ce dernier n’a pas communiqué d’observations au chef d’enquête.
8. La présidente de la Formation Restreinte a informé le contrôlé par courrier en date du
20 mai 2022 que son affaire serait inscrite à la séance de la Formation Restreinte du
13 juillet 2022 et qu’il lui était offert la possibilité d'y être entendu. A la demande du
contrôlé, la séance susmentionnée a été reportée à la séance de la Formation Restreinte
du 28 septembre 2022. Par courriel du 15 septembre 2022, le contrôlé a confirmé sa
présence à ladite séance.
Lors de cette séance le chef d’enquête et le contrôlé, représenté par […], ont exposé leurs
observations orales à l’appui de leurs observations écrites et ont répondu aux questions
posées par la Formation Restreinte. La Formation Restreinte a donné au contrôlé la
possibilité d’envoyer endéans 2 semaines des informations complémentaires demandées
lors de ladite séance. Le contrôlé a eu la parole en dernier.
9. Par courriel en date du 13 octobre 2022, le contrôlé a fourni les informations
complémentaires demandées à la Formation Restreinte.
7 Communication des griefs, point 72 et s.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A
4/31
II. En droit
II. 1. Sur les motifs de la décision
A. Sur le manquement lié à l’obligation de transparence
1. Sur les principes
10. Aux termes de l’article 12.1 du RGPD, le « responsable du traitement prend des mesures
appropriées pour fournir toute information visée aux articles 13 et 14 ainsi que pour
procéder à toute communication au titre des articles 15 à 22 et de l'article 34 en ce qui
concerne le traitement à la personne concernée d'une façon concise, transparente,
compréhensible aisément accessible, en des termes clairs et simples, en particulier pour
toute information destinée spécifiquement à un enfant. Les informations sont fournies par
écrit ou par d'autres moyens y compris, lorsque c'est approprié, par voie électronique.
Lorsque la personne concernée en fait la demande, les informations peuvent être fournies
oralement, à condition que l'identité de la personne concernée soit démontrée par d'autres
moyens. »
11. La transparence constitue un aspect fondamental des principes relatifs au traitement des
données à caractère personnel.8 Les obligations en la matière ont été explicitées par le
Groupe de Travail Article 29 dans ses lignes directrices sur la transparence au sens du
règlement (UE) 2016/679, dont la version révisée a été adoptée le 11 avril 2018 (ci-après :
« WP 260 rév.01 » ou les « les lignes directrices sur la transparence »).
Ces lignes directrices explicitent en particulier les règles générales de transparence
établies par l’article 12 du RGPD, et qui sont applicables à la communication d’informations
aux personnes concernées (Articles 13 et 14 du RGPD), aux communications adressées
aux personnes concernées au sujet de l’exercice de leurs droits (Articles 15 à 22 du
RGPD), et aux communications concernant les violations de données (Article 34 du
RGPD).9
Elles soulignent en outre qu’un « aspect primordial du principe de transparence mis en
lumière dans ces dispositions est que la personne concernée devrait être en mesure de
déterminer à l’avance ce que la portée et les conséquences du traitement englobent afin
8 Voir notamment les articles 5.1.a) et 12 du RGPD, voir aussi les considérants (39), (58) à (60) du RGPD.
9 WP 260 rév.01, point 7.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A
5/31
de ne pas être prise au dépourvu à un stade ultérieur quant à la façon dont ses données
à caractère personnel ont été utilisées »10.
12. A noter que le Comité européen de la protection des données (ci-après : le « CEPD »), qui
a succédé au Groupe de Travail Article 29 le 25 mai 2018, a repris et réapprouvé les
documents adoptés par ledit Groupe entre le 25 mai 2016 et le 25 mai 2018, comme
précisément les lignes directrices précitées sur la transparence11.
2. En l’espèce
2.1 Quant à l’exigence de fournir les informations d’une façon « concise et transparente »
13. Dans le cadre de l’objectif 512 le chef d’enquête s’est entre autres attendu à ce que « la
politique de protection des données reflète la réalité des traitements effectivement mis en
place, c'est-à-dire sans anticipation de traitements qui pourraient éventuellement être mis
en place par le contrôlé dans le futur (cf. Test 5) »13.
Les agents de la CNPD ont alors inspecté « la politique de protection des données pour
vérifier qu’elle reflète la réalité des traitements effectivement mis en place, c'est-à-dire sans
anticipation de traitements qui pourraient éventuellement être mis en place par le contrôlé
dans le futur. Pour ce faire, les agents de la CNPD ont comparé le contenu de la politique
de protection des données avec les explications obtenues du contrôlé lors de l’entretien
du 06/10/2020 »14.
14. Il ressort de la communication des griefs que « les agents de la CNPD ont constaté que
certaines informations contenues dans la politique de protection des données de la
Société A ne reflètent pas la réalité » et que « les agents de la CNPD n'ont pas trouvé de
trace des traitements relatives à la Plateforme A ou la Plateforme B qui sont pourtant
mentionnés dans la politique de protection des données »15.
Ainsi, le chef d’enquête a retenu que les conditions de l'article 12.1 du RGPD « quant à la
loyauté et la transparence de l'information » n'étaient pas respectées.16
10 WP 260 rév.01, point 10.
11 Voir décision Endorsement 1/2018 du CEPD du 25 mai 2018, disponible sous :
https://edpb.europa.eu/sites/edpb/files/files/news/endorsement_of_wp29_documents_en_0.pdf.
12 « Objectif 5 - S'assurer que les informations sont concises, transparentes, compréhensibles, et transmises en
des termes clairs et simples » ; Rapport d’enquête, page 28 et s.
13 Rapport d’enquête, page 29, point 4.4.5.1.
14 Rapport d’enquête, page 30, point 4.4.5.2.5.1.
15 Communication des griefs, point 18.
16 Communication des griefs, point 20.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A
6/31
15. Le contrôlé de son côté a confirmé dans son courrier en date du 3 mai 202117 « la présence
de description de plugins, qui ne sont pas utilisés sur le site web », en précisant que […]
cette description serait retirée « de la déclaration ». Ceci a été noté dans le rapport
d’enquête18, ainsi que dans la communication de griefs19.
16. La Formation Restreinte rappelle que l’article 12.1 du RGPD exige entre autres que les
informations requises doivent être fournies d'une façon concise et transparente.
Elle relève que les lignes directrices sur la transparence précisent que « l’exigence que la
fourniture d’informations aux personnes concernées et que les communications qui leur
sont adressées soient réalisées d’une manière « concise et transparente » signifie que les
responsables du traitement devraient présenter les informations/communications de façon
efficace et succincte afin d’éviter de noyer d’informations les personnes concernées »20.
17. Elle note que la « Déclaration de confidentialité » que le contrôlé a mis en place pour
informer les utilisateurs de son site internet du traitement de leurs données à caractère
personnel, et dont la copie a été annexée au courriel du contrôlé du 13 septembre 202021
(ci-après : la « politique de protection des données »), mentionnait des traitements
moyennant « Plateforme A » dans la section « […] » et « Plateforme B » dans la section
« […] ».
Elle note également que le contrôlé n’a pas contesté que ces traitements n’étaient pas
effectués. En effet, il a confirmé dans son courrier du 3 mai 2021 précité « la présence de
description de plugins, qui ne sont pas utilisés sur le site web ».
18. Elle considère que la fourniture d’informations aux utilisateurs qui correspondent à des
traitements qui ne sont pas effectués, telles que les informations sur des outils […] ou des
plugins non utilisés figurant dans la politique de protection des données, fait obstacle à ce
que les informations requises soient présentées aux utilisateurs de façon efficace et
succincte.
19. Au vu de ce qui précède, la Formation Restreinte se rallie à l’avis du chef d’enquête et
conclut qu’au début de l’enquête, le contrôlé avait manqué à l’obligation de transparence
17 Ce courrier a été transmis à la CNPD par courriel du 6 mai 2021.
18 Rapport d’enquête, page 31, point 4.4.5.3.3.
19
Communication des griefs, point 19.
20 WP 260 rév.01, point 8.
21 Document 3 annexé au courriel du contrôlé du 13 septembre 2020 contenant une version en langue A (« […] »)
et une version en langue B (« […] ») de ladite politique. La version en langue A fait partie de l’annexe 1 au rapport
d’enquête (pièce 1).
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A
7/31
découlant de l'article 12.1 du RGPD de fournir les informations requises d'une façon
concise et transparente.
20. Quant aux mesures prises par le contrôlé après la visite sur place des agents la CNPD, la
Formation Restreinte y réfère au point 64, ainsi qu’au Chapitre II.2, Section 2.2 de cette
décision.
2.2 Quant à l’exigence de fournir les informations d'une façon « aisément accessible »
21. Dans le cadre de l’objectif 822 le chef d’enquête s’est attendu à ce « que :
Sur le site web […] un lien vers la politique de protection des données soit fourni au
point de collecte des données à caractère personnel, ou que ces informations soient
consultables sur la même page que celles où les données à caractère personnel sont
collectées (cf. Tests 1 et 2).
Sur l'application mobile, les informations relatives à la protection de la vie privée
doivent être aisément accessibles, avant et après le téléchargement de l'application
(cf. Tests 3 et 4). »23
22. Les agents de la CNPD ont alors inspecté
- « la politique de protection des données et le site internet de la Société A pour évaluer
la visibilité des informations relatives à la protection des données (revue par exemple
du choix des couleurs sur le site internet permettant de rendre les informations relatives
à la protection des données facilement visibles, notamment les liens de bas de page
vers la politique de protection des données) »24 ;
- « les points de collecte des données à caractère personnel sur le site internet de la
Société A pour identifier l’existence d’un lien vers la politique de protection des
données ou la possibilité de consulter ces informations sur la même page que celles
où les données à caractère personnel sont collectées »25 ;
22 « Objectif 8 - S'assurer que les informations sont aisément accessibles » ; Rapport d’enquête, page 34 et s.
23 Rapport d’enquête, page 34, point 4.4.8.1.
24 Rapport d’enquête, page 34, point 4.4.8.2.1.1
25 Rapport d’enquête, page 34, point 4.4.8.2.2.1
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A
8/31
- « l’application mobile de la Société A pour évaluer la facilité d’accès des informations
relatives à la protection de la vie privée, une fois l’application mobile téléchargée »26 ;
et
- « l’application mobile de la Société A et contrôlé si un lien vers la politique de protection
des données était disponible avant le téléchargement de l’application mobile, sur la
Plateforme C et sur la Plateforme D »27.
23. Il ressort de la communication des griefs que « les agents de la CNPD ont constaté que
la politique de protection des données n'est pas disponible sur le site internet de la
Société A au niveau des points de collecte des données personnelles, notamment au
niveau des pages A, B et C. De plus, la politique de protection des données n'est pas
directement accessible sur l'application mobile de la Société A »28.
Ainsi, le chef d’enquête a retenu que les conditions de l'article 12.1 du RGPD « quant à
l'accessibilité de l'information (au point de collecte des informations) » n'étaient pas
respectées.29
24. Le contrôlé de son côté a déclaré aux agents de la CNPD lors de la visite sur place qu’une
déclaration de confidentialité se trouvait sur son site internet, et que ladite déclaration était
« disponible sur chaque page du site Web [par un lien] dans le « footer » de la page, à
l’exception des pages « interactives » », mais qu’il n’y avait pas de déclaration de
confidentialité au niveau de son application mobile. Il a précisé que toute la partie
interactive de son site internet ainsi que son application mobile seraient gérés par son
prestataire de service la Société B. Ce dernier aurait refusé plusieurs demandes du
contrôlé d’opérer des modifications au niveau des pages en question du site internet. Le
contrôlé serait toutefois en discussion avec son prestataire de service, afin d’étudier la
possibilité d’ajouter un lien vers la politique de protection des données au niveau de
l’application mobile.30 Le contrôlé a inclus des extraits des échanges qu’il a eus à ce sujet
avec son prestataire de service dans son courrier en date du 2 novembre 2020.
[…]31 32.
26 Rapport d’enquête, page 35, point 4.4.8.2.3.1
27 Rapport d’enquête, page 35, point 4.4.8.2.4.1
28
Communication des griefs, point 24.
29 Communication des griefs, point 26.
30 Compte-rendu, pages 4 et 5.
31 Rapport d’enquête, page 36, point 4.4.8.3.1.
32 Communication des griefs, point 25.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A
9/31
Lors de la séance de la Formation Restreinte du 28 septembre 2022, le contrôlé a réitéré
ses propos susmentionnés […]. En ce qui concerne la disponibilité de la politique de
protection des données sur son application mobile, il a par ailleurs précisé qu’un lien dans
l’application mobile renvoyait à la déclaration de confidentialité sur son site internet.
25. La Formation Restreinte rappelle que l’article 12.1 du RGPD exige entre autres que les
informations requises doivent être fournies d'une façon aisément accessible.
Elle relève que les lignes directrices sur la transparence indiquent que « le critère
« aisément accessible » signifie que la personne concernée ne devrait pas avoir à
rechercher les informations mais devrait pouvoir tout de suite y accéder: par exemple, ces
informations pourraient être communiquées aux personnes concernées directement ou au
moyen d’un lien qui leur serait adressé »33, et qu’elles recommandent pour un contexte en
ligne qu’un « lien vers la déclaration ou l'avis sur la protection de la vie privée soit fourni
au point de collecte des données à caractère personnel, ou que ces informations soient
consultables sur la même page que celle où les données à caractère personnel sont
collectées »34.
26. En ce qui concerne le site internet du contrôlé, la Formation Restreinte prend note que les
agents de la CNPD ont documenté par des captures d’écran qu’un lien direct vers la
politique de protection des données figurait sur le site internet du contrôlé en bas de page35,
à l’exception des pages interactives de ce site, à savoir les pages A, B et C36. Pour les
pages en question, les utilisateurs ne pouvaient donc pas tout de suite accéder aux
informations requises.
27. En ce qui concerne l’application mobile du contrôlé, la Formation Restreinte constate que
les agents de la CNPD ont documenté par des captures d’écrans pour les systèmes
d’exploitation […] et […]37, qu’aucune déclaration ou aucun avis sur la protection de la vie
privée n’était mis à disposition des utilisateurs de ladite application avant le téléchargement
de celle-ci. Pour le système d’exploitation […]38, ils ont également documenté qu’après le
téléchargement de l’application, l’utilisateur, à partir de l’écran d’accueil de l’application
mobile, devait parcourir plusieurs étapes pour accéder au site internet du contrôlé en bas
duquel figurait un lien vers la politique de protection des données. Non seulement les
33 WP 260 rév.01, point 11.
34 Idem.
35 Annexe 1 au rapport d’enquête, pièce 3.
36 Annexe 1 au rapport d’enquête, pièces 4, 5 et 6.
37 Annexe 1 au rapport d’enquête, pièce 8 et 21.
38 Annexe 1 au rapport d’enquête, pièce 8.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A
10/31
informations requises n’étaient pas accessibles avant le téléchargement de l’application
mobile, elles n’étaient pas non plus directement accessibles une fois l’application installée.
Elle relève par ailleurs que la politique de protection des données ne visait que le site
internet du contrôlé39 et non pas son application mobile qui n’était même pas mentionnée
dans ladite politique. En effet, une politique de protection des données tenant compte de
l’application mobile du contrôlé n’existait pas au début de l’enquête de la CNPD.
28. En outre, la Formation Restreinte estime que l’affirmation du contrôlé que l’indisponibilité
des informations requises serait due à l’attitude négative de son prestataire de service, ne
saurait énerver ses constatations quant à l’indisponibilité de ces informations, étant donné
que l’article 28.1 du RGPD exige que « lorsqu'un traitement doit être effectué pour le
compte d'un responsable du traitement, celui-ci fait uniquement appel à des sous-traitants
qui présentent des garanties suffisantes quant à la mise en œuvre de mesures techniques
et organisationnelles appropriées de manière à ce que le traitement réponde aux
exigences du présent règlement et garantisse la protection des droits de la personne
concernée ».
29. Au vu de ce qui précède, la Formation Restreinte se rallie à l’avis du chef d’enquête et
conclut qu’au début de l’enquête, le contrôlé a manqué à l’obligation de transparence
découlant de l'article 12.1 du RGPD de fournir les informations requises d'une façon
aisément accessible.
2.3 Quant aux exigences de fournir les informations d’une façon « compréhensible » et « en
des termes clairs et simples »
2.3.1 Au niveau de la traduction
30. Dans le cadre de l’objectif 540 le chef d’enquête s’est entre autres attendu à ce que « la
politique de protection des données soit disponible dans les mêmes langues que celles
proposées sur le site web, à savoir les langues de la clientèle ciblée par les services du
contrôlé (cf. Test 3) »41.
39 Cf. première phrase de la première section « […] ».
40 « Objectif 5 - S'assurer que les informations sont concises, transparentes, compréhensibles, et transmises en
des termes clairs et simples » ; Rapport d’enquête, page 28 et s.
41 Rapport d’enquête, page 29, point 4.4.5.1.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A
11/31
Les agents de la CNPD ont alors inspecté « la politique de protection des données pour
identifier l’existence d’une traduction dans les mêmes langues que celles pour lesquelles
le site est disponibles »42.
31. Dans la communication des griefs, le chef d’enquête a relevé que « les agents de la CNPD
ont constaté que la politique de protection des données de la Société A est disponible en
langue A et en langue B uniquement alors que le site internet est traduit en langue A, en
langue B et en langue C »43.
Ainsi, le chef d’enquête a retenu que les conditions de l'article 12.1 du RGPD « quant au
caractère compréhensible de l'information (au niveau de la traduction) » n'étaient pas
respectées.44
32. Le contrôle de son côté, a déclaré aux agents de la CNPD lors de la visite sur place qu’il
« s’agissait d’un choix de se limiter aux langues A et B ».45
Il a précisé dans son courrier du 3 mai 2021 qu’il aurait l’intention de traduire la politique
de protection des données en langue C. Ceci a été noté dans le rapport d’enquête46 ainsi
que dans la communication de griefs47.
33. La Formation Restreinte rappelle que l’article 12.1 du RGPD exige entre autres que les
informations requises doivent être fournies d'une façon compréhensible.
Elle relève que les lignes directrices sur la transparence indiquent que « l’exigence que
ces informations soient « compréhensibles » signifie qu’elles devraient pouvoir être
comprises par la majorité du public visé. La compréhensibilité est étroitement liée à
l’exigence d’utiliser des termes clairs et simples. Un responsable du traitement connaît les
personnes au sujet desquelles il collecte des informations et peut mettre à profit ces
connaissances pour déterminer ce que ce public serait susceptible de comprendre »48.
34. En ce qui concerne l’exigence susmentionnée de fournir les informations requises en des
termes clairs et simples, les lignes directrices sur la transparence indiquent plus
spécifiquement qu’une « traduction dans une ou plusieurs langues devrait être fournie
42 Rapport d’enquête, page 30, point 4.4.5.2.3.1.
43 Communication des griefs, point 30.
44 Communication des griefs, point 32.
45 Compte-rendu, page 6.
46 Rapport d’enquête, page 31, point 4.4.5.3.2.
47 Communication des griefs, point 31.
48 WP 260 rév.01, point 9.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A
12/31
lorsque le responsable du traitement cible des personnes concernées parlant ces
langues »49.
35. La Formation Restreinte note qu’au début de l’enquête la politique de protection des
données n’était disponible qu’en langue A et en langue B, bien que le site internet était
également mis à disposition en langue C.
Elle considère que le fait qu’une version en langue C du site internet était mise à disposition
des utilisateurs par le contrôlé, montre que ce dernier visait également un public ne
maîtrisant ni la langue A, ni la langue B, et qui n’était pas susceptible de comprendre la
politique de protection des données dans une de ces langues.
Elle estime donc comme le contrôlé n’avait pas fourni aux utilisateurs de son site internet
une traduction de sa politique de protection des données dans toutes les langues dans
lesquelles son site internet était mis à disposition, il n’avait pas satisfait aux exigences de
fournir les informations requises d'une façon compréhensible et en des termes clairs et
simples.
36. Au vu de ce qui précède, la Formation Restreinte se rallie à l’avis du chef d’enquête et
conclut qu’au début de l’enquête, le contrôlé a manqué à l’obligation de transparence
découlant de l'article 12.1 du RGPD de fournir les informations requises d’une façon
compréhensible et en des termes clairs et simples.
2.3.2 Au niveau des destinataires
37. En ce qui concerne l’objectif 550 le chef d’enquête a rappelé que les informations relatives
aux destinataires ou catégories de destinataires qui doivent être fournies au titre des
articles 13 et 14 du RGPD selon l’annexe aux lignes directrices sur la transparence51.
38. De la communication des griefs il ressort à cet égard, que le chef d’enquête ne s’est pas
attendu à « une liste nominative des destinataires mais au moins [à] une information
précise sur les catégories de destinataires »52.
Ainsi, comme « les agents de la CNPD ont constaté que les destinataires des données
personnelles ne sont pas très détaillés dans la politique de protection des données de la
49 WP 260 rév.01, point 13.
50 « Objectif 5 - S'assurer que les informations sont concises, transparentes, compréhensibles, et transmises en
des termes clairs et simples » ; Rapport d’enquête, page 28 et s.
51 Rapport d’enquête, pages 28 à 29, point 4.4.5.
52 Communication des griefs, point 36.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A
13/31
Société A qui mentionne « la catégorie de personnes A » tandis que le registre des
traitements est plus complet et précis en indiquant comme destinataire « […] »53, le chef
d’enquête a retenu que les conditions de l'article 12.1 du RGPD « quant au caractère
compréhensible de l'information (au niveau des destinataires) » n'étaient pas respectées.54
39. Le contrôlé de son côté a indiqué dans son courrier du 3 mai 2021 avoir l’intention d’ajouter
le point « […] » à la politique de protection des données « pour que les utilisateurs voient
[…] tous les destinataires possibles […] ». Ceci a été noté dans le rapport d’enquête55.
40. La Formation Restreinte rappelle que l'article 12.1 du RGPD exige entre autres que les
informations requises doivent être fournies d'une façon compréhensible.
Aux termes des lignes directrices sur la transparence, « l’exigence que ces informations
soient « compréhensibles » signifie qu’elles devraient pouvoir être comprises par la
majorité du public visé. La compréhensibilité est étroitement liée à l’exigence d’utiliser des
termes clairs et simples. Un responsable du traitement connaît les personnes au sujet
desquelles il collecte des informations et peut mettre à profit ces connaissances pour
déterminer ce que ce public serait susceptible de comprendre »56.
Elle rappelle par ailleurs que conformément à l’article 4.9) du RGPD on entend par
« « destinataire », la personne physique ou morale, l'autorité publique, le service ou tout
autre organisme qui reçoit communication de données à caractère personnel, qu'il s'agisse
ou non d'un tiers. […] ». Elle relève par ailleurs qu’aux termes de l’article 13.1.e) du RGPD
le contrôlé doit, le cas échéant, fournir des informations sur les destinataires ou des
informations sur les catégories de destinataires des données à caractère personnel.
41. La Formation Restreinte constate que la politique de protection des données indiquait dans
la section « […] » que les données à caractère personnel des utilisateurs étaient
transférées à une catégorie de destinataires, à savoir […].
Elle considère que les informations répondaient à un degré de précision acceptable pour
permettre aux utilisateurs du site internet du contrôlé de comprendre à qui leurs données
à caractère personnel étaient transférées.
42. Au vu de ce qui précède, la Formation Restreinte ne se rallie pas à l’avis du chef d’enquête
et conclut qu’au début de l’enquête, le contrôlé n’a pas manqué à l’obligation de
53 Communication des griefs, point 37.
54 Communication des griefs, point 39.
55 Rapport d’enquête, page 22, point 4.4.2.3.1.
56 WP 260 rév.01, point 9.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A
14/31
transparence découlant de l'article 12.1 du RGPD de fournir les informations de façon
compréhensible.
2.4 Quant à la prise de « mesures appropriées » pour fournir l'information
43. Etant donné que le contrôle des traitements effectués par le contrôlé en rapport avec
l’activité A n’était pas dans le périmètre de l’enquête en cause, la Formation Restreinte ne
statue pas dans la présente décision sur le grief retenu à cet égard par le chef d’enquête.
B. Sur le manquement lié à l'obligation d'informer les personnes concernées
1. Sur les principes
44. L’article 13 du RGPD prévoit ce qui suit :
« 1. Lorsque des données à caractère personnel relatives à une personne concernée sont
collectées auprès de cette personne, le responsable du traitement lui fournit, au moment
où les données en question sont obtenues, toutes les informations suivantes :
a) l'identité et les coordonnées du responsable du traitement et, le cas échéant, du
représentant du responsable du traitement ;
b) le cas échéant, les coordonnées du délégué à la protection des données ;
c) les finalités du traitement auquel sont destinées les données à caractère personnel ainsi
que la base juridique du traitement ;
d) lorsque le traitement est fondé sur l'article 6, paragraphe 1, point f), les intérêts légitimes
poursuivis par le responsable du traitement ou par un tiers ;
e) les destinataires ou les catégories de destinataires des données à caractère personnel,
s'ils existent ; et
f) le cas échéant, le fait que le responsable du traitement a l'intention d'effectuer un
transfert de données à caractère personnel vers un pays tiers ou à une organisation
internationale, et l'existence ou l'absence d'une décision d'adéquation rendue par la
Commission ou, dans le cas des transferts visés à l'article 46 ou 47, ou à l'article 49,
paragraphe 1, deuxième alinéa, la référence aux garanties appropriées ou adaptées et les
moyens d'en obtenir une copie ou l'endroit où elles ont été mises à disposition ;
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A
15/31
2. En plus des informations visées au paragraphe 1, le responsable du traitement fournit à
la personne concernée, au moment où les données à caractère personnel sont obtenues,
les informations complémentaires suivantes qui sont nécessaires pour garantir un
traitement équitable et transparent :
a) la durée de conservation des données à caractère personnel ou, lorsque ce n'est pas
possible, les critères utilisés pour déterminer cette durée ;
b) l'existence du droit de demander au responsable du traitement l'accès aux données à
caractère personnel, la rectification ou l'effacement de celles-ci, ou une limitation du
traitement relatif à la personne concernée, ou du droit de s'opposer au traitement et du
droit à la portabilité des données ;
c) lorsque le traitement est fondé sur l'article 6, paragraphe 1, point a), ou sur l'article 9,
paragraphe 2, point a), l'existence du droit de retirer son consentement à tout moment,
sans porter atteinte à la licéité du traitement fondé sur le consentement effectué avant le
retrait de celui-ci ;
d) le droit d'introduire une réclamation auprès d'une autorité de contrôle ;
e) des informations sur la question de savoir si l'exigence de fourniture de données à
caractère personnel a un caractère réglementaire ou contractuel ou si elle conditionne la
conclusion d'un contrat et si la personne concernée est tenue de fournir les données à
caractère personnel, ainsi que sur les conséquences éventuelles de la non-fourniture de
ces données ;
f) l'existence d'une prise de décision automatisée, y compris un profilage, visée à l'article
22, paragraphes 1 et 4, et, au moins en pareils cas, des informations utiles concernant la
logique sous-jacente, ainsi que l'importance et les conséquences prévues de ce traitement
pour la personne concernée.
3. Lorsqu'il a l'intention d'effectuer un traitement ultérieur des données à caractère
personnel pour une finalité autre que celle pour laquelle les données à caractère personnel
ont été collectées, le responsable du traitement fournit au préalable à la personne
concernée des informations au sujet de cette autre finalité et toute autre information
pertinente visée au paragraphe 2.
4. Les paragraphes 1, 2 et 3 ne s'appliquent pas lorsque, et dans la mesure où, la personne
concernée dispose déjà de ces informations. »
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A
16/31
45. La communication aux personnes concernées d’informations relatives au traitement de
leurs données est un élément essentiel dans le cadre du respect des obligations générales
de transparence au sens du RGPD.57 Lesdites obligations ont été explicitées par le Groupe
de Travail Article 29 dans ses lignes directrices sur la transparence qui ont été reprises et
réapprouvées par le CEPD.58
46. Pour le surplus, la Formation Restreinte se réfère aux points 10 à 12 de la présente
décision en ce qui concerne les principes à respecter en vertu de l'obligation de
transparence conformément à l'article 12.1 du RGPD.
2. En l’espèce
2.1 Quant à la durée de conservation des données à caractère personnel
47. Dans le cadre de l’objectif 259 le chef d’enquête s’est entre autres attendu à ce que « les
informations suivantes soient accessibles à travers la politique de protection des données,
conformément à l’annexe de la guidance du G29 relative aux informations devant être
communiquées à une personne concernée au titre de l’article 13 ou de l’article 14 : […]
● La période de conservation des données ou, lorsque ce n'est pas possible, les critères
utilisés pour déterminer cette période […] ».60
Les agents de la CNPD ont alors inspecté « la politique de protection des données pour
identifier la présence d’informations relatives aux durées de rétention des données
traitées, et que chaque délai de conservation a bien été mentionné pour les différentes
catégories de données à caractère personnel et/ou les différentes finalités du
traitement »61.
48. De la communication de griefs il ressort dans ce contexte qu’une analyse de la politique
de protection des données a révélé que les périodes de conservation des données à
caractère personnel n’étaient pas indiquées pour certains traitements.62
Le chef d’enquête a pris note que « les agents de la CNPD n'ont pas trouvé d'information
sur les durées de conservation des données relatives aux opérations A, B et C »63.
57 Voir notamment les articles 5.1.a) et 12 du RGPD, voir aussi le considérant (39) du RGPD.
58 Cf. points 11 et 12 de la présente décision.
59 « Objectif 2 - S'assurer que les informations sont complètes » ; Rapport d’enquête, page 13 et s.
60 Rapport d’enquête, page 13, point 4.4.2.1.
61 Rapport d’enquête, page 16, point 4.4.2.2.8.1.
62 Communication des griefs, points 52 et 53.
63 Communication des griefs, point 55.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A
17/31
Ainsi, il a retenu que les conditions de l'article 13.2.a) du RGPD « relatives à l'information
quant à la durée de conservation des données n'étaient pas respectées au début de
l'enquête »64.
49. Le contrôlé de son côté a indiqué dans son courrier du 3 mai 2021 son intention d’ajouter
le point « […] » […] à la politique de protection des données qui devrait également
mentionner les périodes de conservation des données à caractère personnel. Ceci a été
noté dans le rapport d’enquête65.
50. La Formation Restreinte rappelle que l’article 13.2.a) du RGPD exige que des informations
relatives à la durée de conservation des données à caractère personnel ou, lorsque ce
n'est pas possible, aux critères utilisés pour déterminer cette durée, soient fournies à la
personne concernée au moment où les données à caractère personnel sont obtenues.
Elle relève que les lignes directrices sur la transparence indiquent que « la période de
conservation (ou les critères pour la déterminer) peut être dictée par différents facteurs
comme des exigences réglementaires ou des lignes directrices industrielles, mais elle
devrait être formulée de manière à ce que la personne concernée puisse évaluer, selon la
situation dans laquelle elle se trouve, quelle sera la période de conservation s’agissant de
données spécifiques ou en cas de finalités spécifiques. Le responsable du traitement ne
peut se contenter de déclarer de façon générale que les données à caractère personnel
seront conservées aussi longtemps que la finalité légitime du traitement l’exige. Le cas
échéant, différentes périodes de stockage devraient être mentionnées pour les différentes
catégories de données à caractère personnel et/ou les différentes finalités de traitement,
notamment les périodes à des fins archivistiques »66.
51. La Formation Restreinte constate que la politique de protection des données ne contenait
pas d'informations sur les durées de conservation des données relatives aux opérations
A, B et C alors que des informations relatives à la durée de conservation des données à
caractère personnel des utilisateurs figuraient dans deux sections de la politique de
protection des données, à savoir […]. Les utilisateurs ne pouvaient donc pas savoir pour
tous les traitements quelles étaient les périodes de conservation y relatives.
64 Communication des griefs, point 57.
65 Rapport d’enquête, page 22, point 4.4.2.3.1.
66 WP 260 rév.01, Annexe « Informations devant être communiquées à une personne concernée au titre de l’article
13 ou de l’article 14 ».
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A
18/31
52. Au vu de ce qui précède, la Formation Restreinte se rallie à l’avis du chef d’enquête et
conclut qu’au début de l’enquête, le contrôlé n’a pas fourni aux utilisateurs de son site
internet toutes les informations rendues obligatoires par l'article 13.2.a) du RGPD.
2.2 Quant à l'exercice de leurs droits par les personnes concernées
53. Dans le cadre de l’objectif 267 le chef d’enquête s’est entre autres attendu à ce que « les
informations suivantes soient accessibles à travers la politique de protection des données,
conformément à l’annexe de la guidance du G29 relative aux informations devant être
communiquées à une personne concernée au titre de l’article 13 ou de l’article 14 : […]
● Les droits des personnes concernées : accès, rectification, effacement, limitation du
traitement, objection au traitement, portabilité, […]. De plus, une information est attendue
sur les moyens mis à disposition pour exercer ses droits d’accès (adresse e-mail ou
formulaire de contact spécifiques permettant au responsable du traitement de recevoir les
demandes relatives à la protection des données) […] »68.
Ainsi, les agents de la CNPD ont inspecté la politique de protection des données pour
identifier « la présence d’informations relatives aux droits des personnes concernées
incluant un résumé de ce que comprennent les droits en question et les mesures pouvant
être prises par la personne concernée pour les exercer ainsi que toute limitation auxdits
droits »69.
54. Selon la communication de griefs, l’analyse de la politique de protection des données a
révélé que certains des droits pouvant être exercés par les personnes concernées n’étaient
pas indiqués70.
Le chef d’enquête a spécifié qu’en l’espèce « le droit de limitation n'était pas mentionné
dans la politique de protection des données de la Société A au début de l'enquête et le
droit d'opposition n'est mentionné que dans le cas particulier […] »71.
Ainsi, il a retenu que les conditions de l'article 13.2.b) du RGPD « quant à l’information sur
l’exercice de leurs droits par les personnes concernées n’ont pas été respectées »72.
67 « Objectif 2 - S'assurer que les informations sont complètes » ; Rapport d’enquête, page 13 et s.
68 Rapport d’enquête, page 13, point 4.4.2.1.
69 Rapport d’enquête, page 17, point 4.4.2.2.9.1.
70 Communication des griefs, point 58.
71 Communication des griefs, point 60.
72 Communication des griefs, point 62.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A
19/31
55. Le contrôlé de son côté a indiqué dans son courrier du 3 mai 2021, qu’il était d’avis que le
droit à la limitation du traitement serait d'ores et déjà mentionné dans la politique de
protection des données au « point « […] » ». Il a toutefois affirmé son intention d’ajouter
une référence à ce droit « sous le point […] » de la politique de protection de données et
a fourni une proposition de texte. Ceci a été noté dans le rapport d’enquête73.
56. La Formation Restreinte rappelle que l’article 13.2.b) du RGPD exige que des informations
sur l'existence du droit de demander au responsable du traitement l'accès aux données à
caractère personnel, la rectification ou l'effacement de celles-ci, ou une limitation du
traitement relatif à la personne concernée, ou du droit de s'opposer au traitement et du
droit à la portabilité des données soient fournies à la personne concernée, au moment où
les données à caractère personnel sont obtenues.
Elle relève que les lignes directrices sur la transparence indiquent que « ces informations
devraient être spécifiques au scénario de traitement et inclure un résumé de ce que
comprend le droit en question et des mesures pouvant être prises par la personne
concernée pour l’exercer, ainsi que toute limitation audit droit […]. En particulier, le droit
de s’opposer au traitement doit être explicitement porté à l’attention de la personne
concernée au plus tard au moment de la première communication avec la personne
concernée et doit être présenté clairement et séparément de toute autre information
[…] »74.
57. En ce qui concerne le droit à la limitation du traitement, elle constate que l’existence de ce
droit n’était pas mentionnée dans la politique de protection des données.
Elle estime en particulier que ce droit ne figurait pas à la section « […] » (au « point « […] »)
de ladite politique, comme le terme « […] » y employé ne visait qu’une méthode75 pouvant
être employée afin de mettre en pratique le droit à la limitation du traitement et non pas le
droit à la limitation en tant que tel.
58. En ce qui concerne le droit d’opposition, elle prend note que dans la politique de protection
des données, l’existence de ce droit était d’abord mentionnée dans la section « […] » (au
point « […] ») […], et qu’ensuite l’existence de ce droit était rappelée pour certains des
traitements pour lesquels il était indiqué qu’ils étaient fondés sur l’article 6.1.f) du RGPD,
mais non pas pour tous les traitements fondés sur cet article. […]
73 Rapport d’enquête, page 22, point 4.4.2.3.3.
74 WP 260 rév.01, Annexe « Informations devant être communiquées à une personne concernée au titre de l’article
13 ou de l’article 14 ».
75 Considérant (67) du RGPD.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A
20/31
59. Au vu de ce qui précède, la Formation Restreinte se rallie à l’avis du chef d’enquête et
conclut qu’au début de l’enquête, le contrôlé n’a pas fourni aux utilisateurs de son site
internet toutes les informations rendues obligatoires par l'article 13.2.b) du RGPD.
II. 2. Sur l’amende et les mesures correctrices
1. Sur les principes
60. Conformément à l’article 12 de la loi du 1er août 2018, la Commission nationale dispose
des pouvoirs prévus à l’article 58.2 du RGPD:
« a) avertir un responsable du traitement ou un sous-traitant du fait que les opérations de
traitement envisagées sont susceptibles de violer les dispositions du présent règlement;
b) rappeler à l'ordre un responsable du traitement ou un sous-traitant lorsque les
opérations de traitement ont entraîné une violation des dispositions du présent règlement;
c) ordonner au responsable du traitement ou au sous-traitant de satisfaire aux demandes
présentées par la personne concernée en vue d'exercer ses droits en application du
présent règlement;
d) ordonner au responsable du traitement ou au sous-traitant de mettre les opérations de
traitement en conformité avec les dispositions du présent règlement, le cas échéant, de
manière spécifique et dans un délai déterminé;
e) ordonner au responsable du traitement de communiquer à la personne concernée une
violation de données à caractère personnel;
f) imposer une limitation temporaire ou définitive, y compris une interdiction, du traitement;
g) ordonner la rectification ou l'effacement de données à caractère personnel ou la
limitation du traitement en application des articles 16, 17 et 18 et la notification de ces
mesures aux destinataires auxquels les données à caractère personnel ont été divulguées
en application de l'article 17, paragraphe 2, et de l'article 19;
h) retirer une certification ou ordonner à l'organisme de certification de retirer une
certification délivrée en application des articles 42 et 43, ou ordonner à l'organisme de
certification de ne pas délivrer de certification si les exigences applicables à la certification
ne sont pas ou plus satisfaites;
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A
21/31
i) imposer une amende administrative en application de l'article 83, en complément ou à
la place des mesures visées au présent paragraphe, en fonction des caractéristiques
propres à chaque cas;
j) ordonner la suspension des flux de données adressés à un destinataire situé dans un
pays tiers ou à une organisation internationale. »
61. Conformément à l’article 48 de la loi du 1er août 2018, la CNPD peut imposer des amendes
administratives telles que prévues à l’article 83 du RGPD, sauf à l’encontre de l’État ou
des communes.
62. L’article 83 du RGPD prévoit que chaque autorité de contrôle veille à ce que les amendes
administratives imposées soient, dans chaque cas, effectives, proportionnées et
dissuasives, avant de préciser les éléments qui doivent être pris en compte pour décider
s'il y a lieu d'imposer une amende administrative et pour décider du montant de cette
amende :
« a) la nature, la gravité et la durée de la violation, compte tenu de la nature, de la portée
ou de la finalité du traitement concerné, ainsi que du nombre de personnes concernées
affectées et le niveau de dommage qu'elles ont subi ;
b) le fait que la violation a été commise délibérément ou par négligence ;
c) toute mesure prise par le responsable du traitement ou le sous-traitant pour atténuer le
dommage subi par les personnes concernées ;
d) le degré de responsabilité du responsable du traitement ou du sous-traitant, compte
tenu des mesures techniques et organisationnelles qu'ils ont mises en œuvre en vertu des
articles 25 et 32 ;
e) toute violation pertinente commise précédemment par le responsable du traitement ou
le sous-traitant ;
f) le degré de coopération établi avec l'autorité de contrôle en vue de remédier à la violation
et d'en atténuer les éventuels effets négatifs ;
g) les catégories de données à caractère personnel concernées par la violation ;
h) la manière dont l'autorité de contrôle a eu connaissance de la violation, notamment si,
et dans quelle mesure, le responsable du traitement ou le sous-traitant a notifié la
violation ;
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A
22/31
i) lorsque des mesures visées à l'article 58, paragraphe 2, ont été précédemment
ordonnées à l'encontre du responsable du traitement ou du sous-traitant concerné pour le
même objet, le respect de ces mesures ;
j) l'application de codes de conduite approuvés en application de l'article 40 ou de
mécanismes de certification approuvés en application de l'article 42 ; et
k) toute autre circonstance aggravante ou atténuante applicable aux circonstances de
l'espèce, telle que les avantages financiers obtenus ou les pertes évitées, directement ou
indirectement, du fait de la violation ».
63. La Formation Restreinte tient à préciser que les faits pris en compte dans le cadre de la
présente décision sont ceux constatés au début de l’enquête. Les éventuelles
modifications relatives aux traitements de données faisant l’objet de l’enquête intervenues
ultérieurement, même si elles permettent d’établir entièrement ou partiellement la
conformité, ne permettent pas d’annuler rétroactivement un manquement constaté.
64. Néanmoins, les démarches effectuées par le contrôlé pour se mettre en conformité avec
le RGPD en cours de la procédure d’enquête ou pour remédier aux manquements relevés
par le chef d’enquête dans la communication des griefs, sont prises en compte par la
Formation Restreinte dans le cadre des éventuelles mesures correctrices à prononcer
et/ou de la fixation du montant d’une éventuelle amende administrative à prononcer.
2. En l’espèce
2.1 Quant à l’imposition d’une amende administrative
65. Dans la communication des griefs, le chef d’enquête propose à la Formation Restreinte de
prononcer à l’encontre du contrôlé une amende administrative portant sur le montant de
3.700 euros.76
66. Afin de décider s’il y a lieu d’imposer une amende administrative et pour décider, le cas
échéant, du montant de cette amende, la Formation Restreinte analyse les critères posés
par l’article 83.2 du RGPD :
- Quant à la nature et la gravité de la violation (article 83.2 a) du RGPD), elle rappelle en
ce qui concerne les manquements aux articles 12 et 13 du RGPD que la transparence
applicable aux traitements de données à caractère personnel et l’information relative à
76 Communication des griefs, point 68.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A
23/31
ce traitement sont des obligations essentielles pesant sur les responsables de
traitement, afin que les personnes soient pleinement conscientes de l’utilisation qui sera
faite de leurs données à caractère personnel, une fois celles-ci collectées. Un
manquement à ces articles du RGPD est ainsi constitutif d’une atteinte aux droits des
personnes concernées. Le droit à la transparence et le droit à l’information ont par
ailleurs été renforcés aux termes du RGPD, ce qui témoigne de leur importance toute
particulière.
- Quant au critère de durée (article 83.2.a) du RGPD), la Formation Restreinte constate
que ces manquements ont duré dans le temps, à tout le moins depuis le début de
l’enquête et jusqu’à, le cas échéant, une modification éventuelle de la politique de
protection des données. Elle rappelle que de la guidance relative aux principes et
obligations prévus par le RGPD était disponible auprès de la CNPD, notamment sur son
site web.
- Quant au nombre de personnes concernées (article 83.2 a) du RGPD), la Formation
Restreinte constate qu’il s’agit de tous les utilisateurs du site internet du contrôlé et de
l’application mobile. Elle tient compte de l’affirmation du chef d’enquête selon laquelle
« la Société A compte un nombre significatif de clients (environ […] sur base des chiffres
communiquées en décembre 2020) »77.
- Quant à la question de savoir si les manquements ont été commis délibérément ou non
(par négligence) (article 83.2.b) du RGPD), la Formation Restreinte rappelle que « non
délibérément » signifie qu’il n’y a pas eu d’intention de commettre la violation, bien que
le responsable du traitement ou le sous-traitant n’ait pas respecté l’obligation de
diligence qui lui incombe en vertu de la législation.
En l’espèce, la Formation Restreinte est d’avis que les faits et les manquements
constatés ne traduisent pas une intention délibérée de violer le RGPD dans le chef du
contrôlé.
- Quant au degré de coopération établi avec l’autorité de contrôle (article 83.2 f) du
RGPD), la Formation Restreinte tient compte de l’affirmation du chef d’enquête selon
laquelle le contrôlé a fait preuve d’une participation constructive tout au long de
l’enquête78.
77 Communication des griefs, point 66.b).
78 Communication des griefs, point 66.d).
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A
24/31
- Quant aux mesures prises par le contrôlé pour atténuer le dommage subi par les
personnes concernées (article 83.2.c), la Formation Restreinte tient compte des
mesures prises par le contrôlé et renvoie au Chapitre II.2, Section 2.2 de cette décision
pour les explications y afférentes.
67. La Formation Restreinte constate que les autres critères de l’article 83.2 du RGPD ne sont
ni pertinents, ni susceptibles d’influer sur sa décision quant à l’imposition d’une amende
administrative et son montant.
68. Elle relève aussi que si plusieurs mesures ont été mises en place par le contrôlé afin de
remédier en totalité ou en partie à certains manquements, celles-ci n’ont été adoptées qu’à
la suite du lancement de l’enquête par les agents de la CNPD en date du 26 août 202079
(voir aussi le point 63 de la présente décision).
69. Dès lors, la Formation Restreinte considère que le prononcé d’une amende administrative
est justifié au regard des critères posés par l’article 83.2 du RGPD pour manquement aux
articles 12.1 et 13 du RGPD.
70. S’agissant du montant de l’amende administrative, la Formation Restreinte rappelle que
l’article 83.3 du RGPD prévoit qu’en cas de violations multiples, comme c’est le cas en
l’espèce, le montant total de l’amende ne peut excéder le montant fixé pour la violation la
plus grave. Dans la mesure où un manquement aux articles 12.1 et 13 du RGPD est
reproché au contrôlé, le montant maximum de l’amende pouvant être retenu s’élève à 20
millions d’euros ou 4% du chiffre d’affaires annuel mondial, le montant le plus élevé étant
retenu.
71. Au regard des critères pertinents de l’article 83.2 du RGPD évoqués ci-avant, la Formation
Restreinte considère que le prononcé d’une amende de deux mille cent (2.100) euros
apparaît à la fois effectif, proportionné et dissuasif, conformément aux exigences de
l’article 83.1 du RGPD.
2.2 Quant à la prise de mesures correctrices
72. Dans la communication des griefs le chef d’enquête propose à la Formation Restreinte
d’adopter les mesures correctrices suivantes : « endéans un délai de 1 mois à compter de
la notification au Contrôlé de la décision prise par la Formation Restreinte :
79 Envoi du questionnaire préliminaire.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A
25/31
Ordonner, en vertu de l'article 58 (2) d) du RGPD, la mise en conformité du Contrôlé à
l'article 12 (1) du RGPD en procédant aux modifications suivantes :
a) Mettre à jour la politique de protection des données en s'assurant que les
informations contenues dans la politique de protection des données de la Société A
reflètent la réalité, notamment au niveau de l'utilisation des plugins et des outils […]
décrits dans la politique ;
b) Ajouter un lien de redirection vers la politique de protection des données aux
points de collecte des informations ;
c) Traduire la politique de protection des données dans les mêmes langues que
celles proposées pour le site internet ;
d) Fournir une information relative à la protection des données au niveau de
l’activité A.
Ordonner, en vertu de l'article 58 (2) d) du RGPD, la mise en conformité du Contrôlé à
l'article 13, paragraphe 2, lettre b) du RGPD, en complétant, dans la politique de protection
des données, les informations suivantes
- L'information quant à l'exercice du droit d'opposition par les personnes
concernées »80.
73. La Formation Restreinte observe encore que le chef d’enquête a noté dans la
communication des griefs qu’à la date de rédaction de ce document, le contrôlé avait ajouté
à la politique de protection des données des informations sur les destinataires des données
à caractère personnel 81, les durées de conservation de ces données82 ainsi que le droit à
la limitation du traitement83. Dès lors, le chef d’enquête n’a pas proposé à la Formation
Restreinte d’adopter de mesures correctrices à ces égards.
74. Quant aux mesures correctrices proposées par le chef d’enquête et par référence au
point 64 de la présente décision, la Formation Restreinte prend en compte les démarches
effectuées par le contrôlé afin de se conformer aux dispositions des articles 12.1 et 13 du
RGPD, telles que détaillées dans son courrier du 3 mai 2021. Plus particulièrement, elle
prend note des faits suivants :
80 Communication des griefs, point 64.
81 Communication des griefs, point 38.
82 Communication des griefs, point 56.
83 Communication des griefs, point 61.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A
26/31
- Quant à la mesure correctrice proposée par le chef d’enquête reprise sous a) du
point 72 de la présente décision concernant la mise en conformité du contrôlé à l’article
12.1 du RGPD par la mise à jour de la politique de protection des données en s’assurant
que les informations contenues dans celle-ci reflètent la réalité, notamment au niveau
de l'utilisation des plugins et des outils […] décrits dans la politique, le contrôlé a indiqué
dans son courrier du 3 mai 2021 que les plugins qui ne sont pas utilisés sur le site
internet seraient retirés de la politique de protection de données.
La Formation Restreinte constate toutefois que les traitements moyennant
« Plateforme A »84 et « Plateforme B »85 sont toujours mentionnés dans la version
modifiée de la « Déclaration de confidentialité » en langue A que le contrôlé a transmis
à elle par courriel du 13 octobre 2022 (ci-après : la « politique de protection des
données modifiée »), et qui porte la mention manuscrite « MISE EN LIGNE […] 2021 ».
Elle observe par ailleurs qu’il ressort des informations contenues dans l’entête ainsi que
dans le pied de page de ce document, qu’il était extrait du site internet du contrôlé en
date du 13 octobre 2022. Par ailleurs, aucune documentation soumise à la Formation
Restreinte ne contient de preuve attestant que le contrôlé effectue désormais ces
traitements.
En considération des mesures de mise en conformité insuffisantes prises par le contrôlé
en l'espèce et du point 64 de la présente décision, la Formation Restreinte estime dès
lors qu'il y a lieu de prononcer la mesure correctrice proposée par le chef d'enquête à
cet égard et reprise au point 72 de la présente décision sous a).
- Quant à la mesure correctrice proposée par le chef d’enquête reprise sous b) du
point 72 de la présente décision concernant la mise en conformité du contrôlé à l’article
12.1 du RGPD en ajoutant un lien de redirection vers la politique de protection des
données aux points de collecte des informations, le contrôlé a confirmé dans son
courrier du 3 mai 2021, qu’ […] il avait décidé de changer de prestataire de service.
Lors de la séance de la Formation Restreinte du 28 septembre 2022, le contrôlé a
réitéré ses propos.
Toutefois, aucune documentation soumise à la Formation Restreinte ne contient de
preuve attestant que le contrôlé a changé de prestataire de service et/ou que des
informations supplémentaires, tel qu’un lien de redirection vers la politique de protection
84 Politique de protection des données modifiée, section « […] ».
85 Politique de protection des données modifiée, section « […] ».
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A
27/31
des données modifiée ont été ajoutées sur les pages interactives de son site internet, à
savoir les pages A, B et C.
En considération des mesures de mise en conformité insuffisantes prises par le contrôlé
en l'espèce et du point 64 de la présente décision, la Formation Restreinte estime dès
lors qu'il y a lieu de prononcer la mesure correctrice proposée par le chef d'enquête à
cet égard et reprise au point 72 de la présente décision sous b).
- Quant à la mesure correctrice proposée par le chef d’enquête reprise sous c) du
point 72 de la présente décision concernant la mise en conformité du contrôlé à l’article
12.1 du RGPD en traduisant la politique de protection des données dans les mêmes
langues que celles proposées pour le site internet, le contrôlé a indiqué dans son
courrier du 3 mai 2021 qu’il aurait l’intention de traduire la politique de protection des
données en langue C.
Toutefois, il n’a annexé que la version en langue A de sa politique de protection des
données modifiée à son courriel du 13 octobre 2022 à la Formation Restreinte.
Aucune documentation soumise à la Formation Restreinte ne contient de preuve
attestant que la politique de protection des données a été traduite en langue C et mise
à disposition des utilisateurs de la version en langue C du site internet du contrôlé. Le
contrôlé n’a pas non plus fournie de preuve que la version en langue B de la politique
de protection des données a été mise à jour et est mise à disposition des utilisateurs de
son site internet.
En considération des mesures de mise en conformité insuffisantes prises par le contrôlé
en l'espèce et du point 64 de la présente décision, la Formation Restreinte estime dès
lors qu'il y a lieu de prononcer la mesure correctrice proposée par le chef d'enquête à
cet égard et reprise au point 72 de la présente décision sous c).
- Quant à la mesure correctrice proposée par le chef d’enquête reprise sous d) du
point 72 de la présente décision concernant la mise en conformité du contrôlé à l’article
12.1 du RGPD par la fourniture d’une information relative à la protection des données
au niveau de l’activité A, la Formation Restreinte, après avoir observé que le contrôle
des traitements effectués en rapport avec l’exploitation de l’activité A n’était pas dans
le périmètre de l’enquête en cause (cf. point 43 de la présente décision), ne statue pas
non plus sur la proposition de mesure correctrice par le chef d’enquête à cet égard au
point 72 de la présente décision sous d).
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A
28/31
- Quant à la mesure correctrice proposée par le chef d’enquête reprise au point 72 de la
présente décision concernant la mise en conformité du contrôlé à l’article 13.2.b) du
RGPD en complétant, dans la politique de protection des données, l'information quant
à l'exercice du droit d'opposition par les personnes concernées, la Formation Restreinte
prend note que le contrôlé a ajouté une référence au droit d’opposition dans la section
« […] » au point « […] »86.
Bien que cette précision ait été ajoutée […], la Formation Restreinte considère qu’elle
ne se prêtait pas pour informer les utilisateurs du site internet qu’ils ont le droit de
s'opposer à tout moment, pour des raisons tenant à leur situation particulière, à un
traitement des données à caractère personnel les concernant fondé sur l'article 6.1.f)
du RGPD.
En considération des mesures de mise en conformité insuffisantes prises par le contrôlé
en l'espèce et du point 64 de la présente décision, la Formation Restreinte estime dès
lors qu'il y a lieu de prononcer la mesure correctrice proposée par le chef d'enquête à
cet égard et reprise à la fin du point 72 de la présente décision.
75. Finalement, comme il a été constaté qu’au début de l’enquête, aucune politique de
protection des données destinée à informer les utilisateurs de l’application mobile n’était
mise à disposition de ces derniers (cf. point 27 de la présente décision) et comme la
Formation Restreinte ne dispose pas non plus de preuves que des informations relatives
à la protection des données à caractère personnel sont désormais mises à disposition des
utilisateurs de l’application mobile (aux points de téléchargement ou sur les pages de celle-
ci), elle estime qu’il y a lieu de prononcer une mesure correctrice à cet égard.
Compte tenu des développements qui précèdent, la Commission nationale siégeant
en formation restreinte, après en avoir délibéré, décide :
- de retenir les manquements aux articles 12.1 et 13 du RGPD ;
- de prononcer à l’encontre de la Société A une amende administrative d’un montant de
deux mille cents (2.100) euros au regard des manquements aux articles 12.1 et 13 du
RGPD ;
86 […].
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A
29/31
- de prononcer à l'encontre de de la Société A une injonction de mettre en conformité les
traitements avec les obligations résultant de l’article 12.1 du RGPD, dans un délai de deux
mois suivant la notification de la décision de la formation restreinte, et, en particulier,
o assurer que les informations contenues dans la politique de protection des données
du site internet reflètent la réalité des traitements au niveau de l'utilisation des
plugins, des outils […] décrits dans ladite politique ;
o ajouter un lien de redirection vers la politique de protection des données à tous les
points de collecte des informations ;
o traduire la politique de protection des données dans les mêmes langues que celles
proposées pour le site internet ;
o fournir une information relative à la protection des données au niveau de
l’application mobile ;
- de prononcer à l'encontre de la Société A une injonction de mettre en conformité les
traitements avec les obligations résultant de l’article 13 du RGPD, dans un délai de deux
mois suivant la notification de la décision de la formation restreinte, et, en particulier,
informer les utilisateurs du site internet de manière claire et précise sur l’existence du droit
d'opposition.
Belvaux, le 13 décembre 2022.
Pour la Commission nationale pour la protection des données siégeant en formation restreinte
Tine A. Larsen Thierry Lallemang Alain Herrmann
Présidente Commissaire Commissaire
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A
30/31
Indication des voies de recours
La présente décision administrative peut faire l'objet d'un recours en réformation dans les trois
mois qui suivent sa notification. Ce recours est à porter devant le tribunal administratif et doit
obligatoirement être introduit par le biais d’un avocat à la Cour d’un des Ordres des avocats.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A
31/31