Expertises des Systèmes d'information - Janvier 2021 - N°464 - Le mensuel du droit de l'informatique et du multimédia - 28

D

O

C

T

R

I

N

E

DONNÉES PERSONNELLES

La Cnil n'épargne
ni la grande distribution
ni le secteur bancaire !
La Cnil a prononcé une sanction de 2,25 millions
d'euros contre les sociétés Carrefour et Carrefour
Banque. Une invitation claire à respecter les
droits des personnes, et un rappel des conditions
d'une information accessible, compréhensible, et
transparente.

S

elon deux délibérations
de la formation restreinte
de la Cnil en date du
18 novembre 2020 (n°SAN2020-008 et n°SAN-2020-009)
rendues publiques, la société
Carrefour et la société Carrefour
Banque ont été condamnées
respectivement à une amende de
2 250 000 € pour la première, et à
une amende de 800 000 € pour la
seconde.
Des sanctions lourdes dès lors
que les manquements constatés
étaient nombreux, et consistaient
dans le non-respect de :
■	 l'obligation d'information dont
les mentions sont fixées à l'article 13 du RGPD ;
■	 la réglementation applicable aux
cookies résultant de l'article 82
de la loi Informatique et libertés ;
■	 l'obligation de limiter les durées
de conservation nées de l'article
5.1 e du RGPD ;
■	 l'obligation de faciliter l'exercice
des droits fixés à l'article 12 du
RGPD ; et d'en garantir un exercice effectif selon les articles
15 et 21 du RGPD, et L.34-5 du
code des postes et communications électroniques  ; s'agissant
notamment du droit d'opposition, et du droit à l'effacement
des données, qui n'étaient
pas systématiquement pris en
compte ;

28

■	 l'obligation de traiter les données

de manière loyale en exécution
de l'article 5 du RGPD ;
■	 l'obligation de sécuriser les
données à caractère personnel
traitées née de l'article 32 du
RGPD ;
■	 l'obligation de notifier les violations de données à caractère
personnel selon l'article 33 du
RGPD.
L'on ne présente plus le groupe
Carrefour, géant de la grande
distribution, qui a diversifié ses
activités et intervient désormais
dans le secteur bancaire ou assurantiel, ou encore comme agence
de voyages ou vendeur spécialisé
dans le commerce en ligne.
Ce sont donc ses filiales, la société
Carrefour France, dont l'activité
principale est la grande distribution, et la société Carrefour
Banque, établissement bancaire
qui propose notamment des
crédits à la consommation, qui
viennent d'être lourdement sanctionnées par la Cnil en leur qualité
de responsable de traitement, suite
à des contrôles réalisés en ligne et
sur place.
A l'origine de la décision de
diligenter un contrôle de la
Cnil, le nombre important de
plaintes formées contre les
EXPERTISES Janvier 2021

sociétés du groupe Carrefour
pour non-respect des dispositions du RGPD. En effet, la Cnil
a reçu 15 plaintes de particuliers
entre juin 2018 et avril 2019.
La société Carrefour France édite
un site web permettant de créer et
d'accéder à son espace personnel
et de passer commande. Tandis
que la société Carrefour Banque,
établissement bancaire, édite
pour sa part un site proposant des
services de banque et d'assurance
en ligne. Elle commercialise une
carte de paiement à destination
des clients du groupe Carrefour,
pouvant
être
rattachée
au
programme de fidélité du même
groupe. Les contrôles ont porté
sur l'ensemble de ces traitements.
L'objet du présent article portera
sur les manquements à l'obligation d'information des personnes,
relevés à l'encontre des deux
sociétés du groupe Carrefour
(points 57 à 99 de la délibération
n°SAN-2020-008 et points 39 à 68
de la délibération SAN-2020-009).
En effet, ces décisions permettent
de définir les contours de l'obligation d'information fixée aux
articles 12 et suivants du RGPD,
et apportent des enseignements
précieux quant aux conditions
d'un accès conforme à l'information, et quant à son contenu.

https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre2 https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4#Article32 https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4#Article32 https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4#Article33 https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4#Article33 https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre3 https://www.legifrance.gouv.fr/loda/article_lc/LEGIARTI000037813978 https://www.legifrance.gouv.fr/loda/article_lc/LEGIARTI000037813978 https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre2 https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre3 https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre3 https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre3 https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000042155961/ https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000042155961/ https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000042155961/

Expertises des Systèmes d'information - Janvier 2021 - N°464 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Janvier 2021 - N°464 - Le mensuel du droit de l'informatique et du multimédia