Thread by @MVJuridique

🔴🇫🇷FLASH- La @CNIL sanctionne #FREE d'une amende de 300 000€ pour violation des règles sur la protection des données à caractère personnel (Décision - CNIL) ⤵️

La CNIL justifie cette sanction au regard notamment de la négligence de la société Free envers des principes fondamentaux du RGPD car plusieurs manquements ont été constitués 👇

1°) La formation restreinte de la CNIL considère que #Free a manqué à ses obligations (art 12 & 15 RGPD) relatives au traitement des demandes d'accès qui lui ont été adressées.

En effet, Free limitait le droit d'accès au premier acteur de la chaine ayant collecté les données.

Ici, la CNIL estime que la personne concernée doit connaître l'identité de la source des données collectées pour pouvoir donner son consentement et faire valoir ses droits (comme le droit d'opposition).

Dans sa décision, la CNIL enjoint la société Free à apporter une réponse aux demandes de droit d'accès sous peine d'une astreinte de 500€ par jour de retard à l'issue d'un délai d'un mois suivant la notification de la délibération.

2°) Concernant le droit à l'effacement, la CNIL considère que Free a manqué à ses obligations découlant des articles 12 et 17 du RGPD 👇

Premièrement, la formation rejette l'argument de la société selon lequel une "demande de suppression générale d'un compte" email est assimilée à "une demande de résiliation de contrat".

Pour la CNIL une telle demande implique nécessairement l'effacement des données personnelles.

Deuxièmement, la CNIL rappelle qu'une demande d'effacement des données doit être traitée dans un délai d'un mois (qui peut être prolongé dans certains cas).

Ici, la CNIL reproche à Free d'avoir fourni une réponse environ 3ans après que les requérants aient exercé leurs droits.

Enfin, troisièmement, la CNIL reproche à Free d'avoir maintenu les comptes "actifs" et la messagerie encore accessible aux personnes concernées plusieurs années après que ces derniers aient effectué leurs demandes de suppression.

Il convient de noter que Free invoquait l'art L34-1 du CPCE pour justifier la conservation des données pendant une durée d'un an.

Dans sa décision (pt.47), la CNIL énonce que les données auraient pu "être conservées avec un statut d’archive intermédiaire".

3°) Concernant l'obligation de sécurité liée aux mots de passe d'accès aux comptes clients (art 32 RGPD), la CNIL reproche à Free leur robustesse insuffisante ainsi que leur stockage et leur transmission en clair aux abonnés 👇

Premièrement, la CNIL reproche à Free l'imposition d'un mot de passe composé uniquement de 8 caractères, sans mesure de sécurité complémentaire.

Une telle situation n'est pas de nature à assurer la sécurité des données à caractère personnel.

Il convient de relever que sur la question des mots de passe, la CNIL avait également reproché à Discord l'insuffisance de sa robustesse et s'était référée à sa recommandation pour son appréciation.

https://twitter.com/MVJuridique/status/1593195350499942400?s=20&t=K3MzqZCRqdcfqeZKCENZoQ

Deuxièmement, la CNIL reproche à Free d'avoir stocké en clair les mots de passe des clients.

Elle constate ici "que toute personne ayant accès à la base de données des clients de la société FREE (...) pouvait directement collecter les identifiants et mots de passe en clair".

Enfin, troisièmement, la CNIL reproche à Free d'avoir transmis les mots de passe en clair par e-mail ou par courrier postal, sans durée limitée ou modification exigée à la première utilisation.

Ces derniers pouvant être facilement interceptés et utilisés par un tiers.

4°) Concernant le reconditionnement des boîtiers "Freebox", la CNIL reproche à Free une violation de son obligation de sécurité (art 32 RGPD) pour avoir mis en circulation des boîtiers sans que leur reconditionnement soit parfait 👇

Premièrement, la CNIL rejette l'argument de "l'erreur humaine" invoqué par Free et relève que la violation de son obligation de sécurité découle de l'insuffisance de mesures de sécurité qui ont rendu cette violation possible.

Deuxièmement, la CNIL rejette l'argument de Free quant au caractère "limité" de la violation.

Ici, la formation restreinte considère que l'unique signalement est "révélateur de l'insuffisance de mesures techniques et organisationnelles mises en œuvre".

Troisièmement, la CNIL relève un manquement à l'article 33 du RGPD car la société Free n'a pas documenté la violation de données liée à la remise des boîtiers mal reconditionnés.