Sanction RGPD CANAL+ : Le 12 octobre 2023, la CNIL (Commission Nationale de l’Informatique et des Libertés) a infligé une amende de 600 000 euros au Groupe Canal+. Cette décision fait suite à plusieurs plaintes reçues concernant les difficultés rencontrées par des personnes dans la prise en compte de leurs droits par la société. La CNIL a constaté que le Groupe Canal+ avait manqué à plusieurs obligations prévues par le RGPD (Règlement Général sur la Protection des Données) et le CPCE (Code des Postes et des Communications Électroniques).
Sanction RGPD CANAL+, les Manquements Sanctionnés
- Non-respect du consentement pour la prospection commerciale
Le Groupe Canal+ n’a pas pu fournir de preuves démontrant qu’il avait obtenu un consentement valable pour ses campagnes de prospection commerciale par voie électronique. - Manquements à l’obligation d’information et au respect de l’exercice des droits
La CNIL a relevé des imprécisions dans la politique de confidentialité du Groupe Canal+, notamment sur les durées de conservation des données. De plus, la société n’a pas répondu à certaines demandes d’accès aux données dans les délais prévus. - Manquements contractuels avec les sous-traitants
Un contrat de sous-traitance ne comportait pas toutes les mentions requises par le RGPD. - Manquement à la sécurité des données personnelles
Le stockage des mots de passe des employés n’était pas suffisamment sécurisé. - Non-notification d’une violation de données à la CNIL
Une violation de données a été constatée, rendant certaines données d’abonnés accessibles à d’autres abonnés pendant une durée de 5 heures. Cette violation n’a pas été notifiée à la CNIL.
Consentement Éclairé
Le consentement est un pilier du RGPD et doit être « libre, spécifique, éclairé et univoque » selon le texte de la réglementation. Pour s’assurer que le consentement est éclairé et valable, les entreprises peuvent adopter plusieurs mesures :
- Transparence : Fournir une information claire, concise et facilement accessible sur l’utilisation qui sera faite des données personnelles collectées.
- Double Opt-In : Utiliser un système de double confirmation pour s’assurer que la personne a bien donné son consentement. Par exemple, après avoir coché une case sur un site web, un email de confirmation peut être envoyé.
- Liste des Partenaires : Lorsque les données sont partagées avec des partenaires ou des sous-traitants, une liste claire de ces entités doit être fournie au moment du recueil du consentement.
- Historique du Consentement : Conserver un historique des consentements pour pouvoir prouver que le consentement a été donné de manière éclairée.
- Révocation du Consentement : Offrir un moyen simple et direct de retirer son consentement à tout moment.
Sous-traitance et RGPD
La gestion des sous-traitants est un défi majeur dans le respect du RGPD. Voici quelques étapes que les entreprises peuvent suivre pour s’assurer de la conformité de leurs partenaires :
- Audit de Conformité : Avant de s’engager avec un sous-traitant, effectuer un audit pour évaluer son niveau de conformité au RGPD.
- Clauses Contractuelles : Inclure dans les contrats des clauses spécifiques relatives au RGPD, détaillant les obligations du sous-traitant en matière de protection des données.
- Suivi et Contrôles Réguliers : Mettre en place des mécanismes de suivi et d’évaluation réguliers pour s’assurer que le sous-traitant respecte toujours les normes du RGPD.
- Plan d’Action en cas de Violation : Établir un plan d’action en cas de violation de données ou de non-conformité, incluant des mesures correctives et des pénalités contractuelles.
Notification des Violations de Données
L’absence de notification à la CNIL en cas de violation de données est un manquement grave qui peut avoir plusieurs conséquences à long terme pour le Groupe Canal+ :
- Perte de Confiance : Le manquement à l’obligation de notification peut entraîner une perte de confiance de la part des clients et des partenaires.
- Sanctions Financières : Outre l’amende initiale, le Groupe Canal+ pourrait faire face à d’autres sanctions financières si de nouvelles violations sont découvertes.
- Réputation : L’image de l’entreprise pourrait être sérieusement ternie, ce qui peut avoir un impact sur les relations commerciales et les investissements.
- Responsabilités Juridiques : Le non-respect des obligations de notification peut ouvrir la voie à des actions en justice, tant au niveau national qu’européen.
