La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de Messieurs Alexandre LINDEN, président, Philippe-Pierre CABOURDIN, vice-président, et de Mesdames Sylvie LEMMET et Christine MAUGÜE, membres ;
Vu la Convention n

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n


Vu le code des postes et des communications électroniques ;
Vu le décret n


Vu la délibération n

Vu l’ordonnance n

Vu les saisines n

Vu les décisions n


Vu les observations adressées à la Commission par la société CARREFOUR le 5 décembre 2019 ;
Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte, en date du 10 décembre 2019 ;
Vu le rapport de Monsieur Éric PÉRÈS, commissaire rapporteur, notifié à la société CARREFOUR FRANCE le 10 janvier 2020 ;
Vu les observations écrites versées par le conseil de la société CARREFOUR FRANCE le 10 mars 2020 ;
Vu la réponse du rapporteur à ces observations notifiée par courriel le 22 avril 2020 au conseil de la société ;
Vu les observations écrites du conseil de la société CARREFOUR FRANCE reçues le 24 août 2020 ;
Vu les observations complémentaires reçues le 15 septembre 2020 ;
Vu les observations orales formulées lors de la séance de la formation restreinte ;
Vu les autres pièces du dossier ;
Étaient présents, lors de la séance de la formation restreinte du 17 septembre 2020 :
- Monsieur Éric PÉRÈS, commissaire, entendu en son rapport ;
En qualité de représentants de la société CARREFOUR FRANCE :






La société CARREFOUR FRANCE ayant eu la parole en dernier ;
La formation restreinte a adopté la décision suivante :
I. Faits et procédure
1. La société CARREFOUR FRANCE (ci-après la société ) est une filiale du groupe CARREFOUR (ci-après le groupe ) sis 93 avenue de Paris à Massy (91300), intervenant dans de nombreux domaines. Son activité principale est la grande distribution, mais le groupe a diversifié ses activités, en intervenant par exemple dans le secteur bancaire et assurantiel, ainsi que comme agence de voyages ou encore vendeur spécialisé dans le commerce en ligne.
2. En 2019, le groupe CARREFOUR employait environ 360 000 salariés, avait réalisé un chiffre d’affaires d’environ 80 milliards d’euros et un résultat net ajusté, part du groupe, de 905 millions d’euros, en hausse par rapport à 2018 (804 millions d’euros). La société CARREFOUR FRANCE a réalisé, en 2019, un chiffre d'affaires d’environ 14 millions d’euros, pour un résultat net déficitaire d’environ 1,6 milliard d’euros.
3. Le groupe CARREFOUR est notamment constitué de la société mère CARREFOUR SA, qui détient la société CARREFOUR FRANCE à 99,61%. Cette dernière détient la société CARREFOUR HYPERMARCHÉS à 82% et la société CARREFOUR PROXIMITÉ FRANCE à 99%. En 2019, CARREFOUR HYPERMARCHÉS a réalisé un chiffre d’affaires de 14,3 milliards d’euros et CARREFOUR PROXIMITÉ FRANCE a réalisé un chiffre d'affaires de 636 millions d’euros.
4. Pour les besoins de son activité, la société CARREFOUR FRANCE édite notamment le site web www.carrefour.fr (ci-après le site carrefour.fr ), permettant à ses clients de créer et d’accéder à un espace personnel et de passer commande.
5. Entre le 8 juin 2018 et le 6 avril 2019, la Commission a été destinataire de quinze plaintes de particuliers relatives aux sociétés du groupe CARREFOUR.
6. Sept de ces saisines (n

7. Quatre de ces saisines (n

8. Trois de ces saisines (n

9. Une saisine (n

10. En application des décisions n


- un contrôle en ligne, réalisé le 24 mai 2019, relatif au site carrefour.fr et aux traitements mis en œuvre à partir de ce site ;
- un contrôle sur place, réalisé le 28 mai 2019, portant sur les traitements mis en œuvre par la société CARREFOUR FRANCE, notamment dans le cadre du programme fidélité Carrefour (ci-après le programme fidélité ), ainsi que les différentes bases de données qu’elle utilisait pour la gestion de sa clientèle ;
- un contrôle sur place, réalisé les 11 et 12 juin 2019, relatif à l’exercice des droits et aux réponses apportées à plusieurs plaignants ayant saisi la CNIL d’une réclamation à l’encontre de la société ;
- un contrôle sur place, réalisé les 26 et 27 juin 2019, portant plus particulièrement sur la gestion des données à caractère personnel dans le cadre du programme fidélité ;
- un contrôle sur place, réalisé le 11 juillet 2019, relatif aux mesures de sécurité développées par CARREFOUR FRANCE pour protéger les données à caractère personnel qu’elle traite et aux violations de données intervenues.
11. Ces missions avaient pour objet de vérifier le respect, par la société, de l’ensemble des dispositions du
règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (ci-après le Règlement ou le RGPD ) et de


12. Différents échanges sont intervenus par courriel entre la société et la délégation de contrôle. Ces échanges concernaient la transmission de documents demandés à l’occasion des contrôles. Le 5 décembre 2019, la société a notamment fait parvenir à la délégation de contrôle des observations écrites reprenant la majorité des points relevés à l’occasion des contrôles et annonçant différentes actions visant à sa mise en conformité.
13. Aux fins d’instruction de ces éléments, la présidente de la Commission a désigné Monsieur Éric PÉRÈS en qualité de rapporteur, le 10 décembre 2019, sur le fondement de l’article 22 de la loi du 6 janvier 1978.
14. À l’issue de son instruction, le rapporteur a fait signifier par huissier de justice à la société CARREFOUR FRANCE, le 10 janvier 2020, un rapport détaillant les manquements au RGPD, à la loi informatique et libertés et au code des postes et des communications électroniques qu’il estimait constitués en l’espèce.
15. Ce rapport proposait à la formation restreinte de la Commission de prononcer une injonction de mettre en conformité le traitement avec les dispositions des articles 5, 12, 13, 15, 17, 21, 32 et 33 du Règlement et à l’article 82 de la loi informatique et libertés, assortie d’une astreinte, ainsi qu’une amende administrative. Il proposait également que cette décision soit rendue publique et ne permette plus d’identifier nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.
16. Le 29 janvier 2020, la société a sollicité la prolongation d’un mois du délai dans lequel elle devait répondre au rapport, le report de la séance initialement prévue le 24 mars 2020 ainsi qu’une rencontre avec le rapporteur. Le 3 février, le président de la formation restreinte a accordé la prolongation sollicitée pour une durée d’un mois. Le 6 février, le secrétaire général de la CNIL a fait droit à la demande de report de la séance au 21 avril 2020. Le même jour, le rapporteur a refusé la rencontre sollicitée par la société.
17. Le 10 mars 2020, par l’intermédiaire de son conseil, la société a produit des observations et formulé une demande pour que la séance devant la formation restreinte se tienne à huis clos.
18. Par courrier électronique du 23 mars 2020 et sur le fondement de l’article 40, alinéa 4, du décret n

19. Par courrier du 24 mars 2020, prenant notamment acte du contexte de la crise sanitaire, le président de la formation restreinte a fait droit à la demande du rapporteur.
20. Par un courrier du même jour, la société a été informée du délai supplémentaire accordé au rapporteur et du fait qu’elle disposait, en vertu de l’alinéa 5 de l’article 40 du décret n

21. Par courrier électronique du 7 avril 2020, le rapporteur a demandé au président de la formation restreinte un nouveau délai supplémentaire de quinze jours pour répondre aux observations de la société, qui lui a été accordé le 8 avril 2020. La société en a été informée le même jour.
22. Le rapporteur a répondu aux observations de la société le 22 avril 2020.
23. Par un courrier du même jour, le secrétaire général de la CNIL a informé la société qu’elle pouvait transmettre ses observations à la réponse du rapporteur jusqu’au 24 août 2020 en application de l’ordonnance n

24. Le 30 juin 2020, le président de la formation restreinte a fait droit à la demande de huis clos formulée par la société au motif que certains éléments versés aux débats étaient protégés par le secret des affaires, tel que prévu par l’article L151-1 du code du commerce.
25. Le 5 août 2020, les services de la CNIL ont notifié à la société une convocation à la séance de la formation restreinte du 17 septembre 2020.
26. Le 24 août, puis le 15 septembre, la société a produit de nouvelles observations en réponse à celles du rapporteur.
27. La société et le rapporteur ont présenté des observations orales lors de la séance de la formation restreinte.
II. Motifs de la décision
A. Sur le manquement à l’obligation de conserver les données à caractère personnel pour une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées
28. L’article 5-1 e) du Règlement dispose que les données à caractère personnel doivent être
conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées
1. Les données des clients membres du programme de fidélité et des utilisateurs du site carrefour.fr
29. D’une part, le rapporteur reproche à la société d’avoir fixé des durées de conservation excédant les durées nécessaires aux finalités des traitements. D’autre part, il reproche à la société d’avoir conservé des données à caractère personnel pendant une durée supérieure à celles prévues.
30. La société reconnaît ces points, mais rappelle qu’elle avait décidé, avant les contrôles de la CNIL, de réduire les durées de conservations de ses clients inactifs et qu’elle avait entamé les opérations de purges nécessaires au respect de ces nouvelles durées. Elle indique en outre avoir achevé l’ensemble de ces opérations durant la procédure de sanction.

Sur le premier point
32. Elle rappelle que le programme fidélité établi par la société a pour but la prospection commerciale de ses adhérents, ainsi qu’il ressort des mentions d’information présentes sur le bulletin d’adhésion. La formation restreinte relève que les clients de la grande distribution,
a fortiori

33. Elle relève néanmoins que la société a, avant l’engagement des procédures de contrôle, engagé un plan visant à réduire cette durée de conservation à trois ans pour l’ensemble de ses bases de données. Au regard de l’interconnexion entre les différentes bases de données de la société et de la nécessité opérationnelle de fixer une durée de conservation identique pour l’ensemble de ses données, la durée de conservation de trois ans pour les clients inactifs apparaît proportionnée à la finalité poursuivie.

Sur le deuxième point
35. La formation restreinte considère donc, au vu de ces éléments, qu’un manquement à l’article 5-1-e) du RGPD est constitué.
36. La formation restreinte souligne cependant les moyens très importants, tant organisationnels que financiers, déployés par la société et constate, au jour de la séance, la conformité au Règlement des pratiques de la société. Cette dernière démontre en effet avoir mis en place un système automatisé de suppression des données de ses clients (tant du programme fidélité que du site carrefour.fr) inactifs depuis plus de trois ans.
2. Les pièces d’identité conservées dans le cadre de l’exercice des droits
37. Le rapporteur reproche à la société d’avoir conservé pendant une durée d’un à six ans les pièces d’identité qui lui étaient communiquées par les personnes concernées dans le cadre de l’exercice d’un droit. Il considère que cette durée est excessive, les données étant conservées au-delà de la durée nécessaire pour l’atteinte de la finalité pour laquelle elles sont traitées.
38. Sur ce point, la société souligne la modification de ces pratiques depuis la notification du rapport de sanction, les titres d’identité n’étant plus conservés que pendant la durée relative au traitement de la demande en question.
39. La formation restreinte relève que la délégation de contrôle a effectivement constaté que des copies de cartes nationales d'identité de requérants étaient conservées par la société pendant une durée pouvant aller d’un à six ans.
40. Or, elle considère que, dès qu’il a été fait droit à la demande, la société n’a plus besoin de conserver une copie de la pièce d’identité du requérant. La fourniture de ce document a en effet pour seul but de justifier de l’identité de la personne dont émane la demande et il n’est pas nécessaire de le conserver une fois l’identité confirmée.
41. La formation restreinte estime également que, pour démontrer qu’elle a effectivement fait droit à la demande, la société peut, au titre d’un archivage intermédiaire à des fins contentieuses, ne conserver que le courrier de réponse favorable, élément dont la conservation présente, au demeurant, un risque moindre pour la personne concernée.
42. Elle considère donc, au vu de ces éléments, qu’un manquement à l’article 5-1-e) du RGPD est constitué.
43. Elle souligne néanmoins les modifications apportées dès la notification du rapport et observe que les nouvelles pratiques de la société sont, au jour de la séance, en conformité avec le Règlement. Il a en effet été démontré que les pièces d’identité sont désormais supprimées dès qu’il a été fait droit à la demande.
B. Sur le manquement relatif aux modalités d’exercice des droits
44. L’article 12 du Règlement dispose, d’une part, que
le responsable du traitement facilite l’exercice des droits conférés à la personne concernée au titre des articles 15 à 22. Dans les cas visés à l’article 11, paragraphe 2, le responsable de traitement ne refuse pas de donner suite à la demande de la personne concernée d'exercer les droits que lui confèrent les articles 15 à 22, à moins que le responsable du traitement ne démontre qu'il n'est pas en mesure d'identifier la personne concernée
lorsque le responsable du traitement a des doutes raisonnables quant à l'identité de la personne physique présentant la demande visée aux articles 15 à 21, il peut demander que lui soient fournies des informations supplémentaires nécessaires pour confirmer l'identité de la personne concernée
45. Il dispose, d’autre part, que
le responsable du traitement fournit à la personne concernée des informations sur les mesures prises à la suite d'une demande formulée en application des articles 15 à 22, dans les meilleurs délais et en tout état de cause dans un délai d'un mois à compter de la réception de la demande. Au besoin, ce délai peut être prolongé de deux mois, compte tenu de la complexité et du nombre de demandes. Le responsable du traitement informe la personne concernée de cette prolongation et des motifs du report dans un délai d'un mois à compter de la réception de la demande.

En premier lieu
47. La société a souligné, lors de ses échanges avec le rapporteur, que cette pratique a été abandonnée dès le 23 octobre 2019.
48. La formation restreinte relève que la société ne réservait pas la demande d’un justificatif d’identité aux seuls cas où existait un doute raisonnable sur l’identité de la personne, cette demande étant systématique. Elle souligne que la présence (constatée lors des contrôles) des justificatifs d’identité accompagnant les demandes, comme les courriers en réponse de la société communiqués à la CNIL par les plaignants, ont démontré l’existence de cette pratique. En effet, la CNIL a été informée d’une demande en ce sens s’agissant de Messieurs […], […], […], […], […] et […] et de Madame […] sans que la société justifie de doutes raisonnables quant à l’identité de la personne.
49. La formation restreinte considère que le caractère systématique des demandes de justificatifs d’identité, reconnu par la société, suffit à démontrer que ces demandes n’étaient pas limitées aux situations où la société avait
des doutes raisonnables quant à l'identité de la personne physique présentant la demande
50. Elle considère donc, au vu de ces éléments, qu’un manquement à l’article 12 du RGPD est constitué.
51. Elle souligne néanmoins les modifications apportées par la société et constate que les nouvelles pratiques de la société sont, au jour de la séance, en conformité avec le Règlement. Il est en effet démontré que les courriers de réponse aux demandes d’exercice de droit n’exigent plus de justificatif d’identité de manière systématique.

En second lieu
53. Sur ce point, la société reconnaît, tant dans sa deuxième réponse aux observations du rapporteur que lors de la séance de la formation restreinte, un retard chronique dans le traitement des demandes au moment du contrôle. Elle souligne cependant les efforts particulièrement importants déployés depuis les opérations de contrôle, la restructuration en profondeur de l’organisation des équipes travaillant sur ces questions, et la transformation de leurs méthodes de travail, avec notamment le développement de nouveaux outils

54. La formation restreinte observe que l’organisation de la société entraînait, structurellement, un retard dans le traitement des demandes et prend note que la société indique que cette défaillance structurelle trouvait son origine dans une mauvaise appréciation des conséquences du RGPD. L’entrée en application de ce texte a augmenté le nombre de demandes auxquelles elle a dû faire face, dans des proportions inattendues (passant, avant l’entrée en application du RGPD, d’une à deux demandes par jour à parfois plus de 75 demandes par jour après le 25 mai 2018).
55. La formation restreinte constate que ce défaut d’anticipation a eu des conséquences directes pour les personnes exerçant leurs droits, les contraignant parfois à formaliser plusieurs relances face au silence gardé par la société. La formation restreinte considère donc, au vu de ces éléments, qu’un manquement à l’article 12 du RGPD est constitué.
56. Elle souligne néanmoins les modifications profondes et efficaces apportées par la société et constate que les nouvelles pratiques de la société sont, au jour de la séance, en conformité avec le Règlement. La société démontre aujourd'hui un délai moyen de réponse aux demandes inférieur à quinze jours, parfois même inférieur à dix jours. Elle démontre également que plus aucune réponse n’a été envoyée hors délai depuis le changement de ses processus internes et le développement de nouveaux outils.
C. Sur le manquement relatif à l’information des personnes
57. L’article 12 du RGPD dispose que
le responsable du traitement prend des mesures appropriées pour fournir toute information visée aux articles 13 et 14 […] en ce qui concerne le traitement à la personne concernée d'une façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples […]
1. S’agissant de l’accessibilité de l’information

En premier lieu
59. S’agissant d’abord de l’information communiquée sur le site carrefour.fr, il relève en effet que la multiplicité des pages à consulter, des liens présents dans les différentes pages, ainsi que la redondance des informations ne permettent pas de considérer que les informations pertinentes pour les personnes sont aisément accessibles.
60. S’agissant ensuite de l’information communiquée aux personnes adhérant en ligne au programme fidélité, le rapporteur estime que les informations n’étaient pas aisément accessibles puisqu’elles étaient insérées à l’intérieur des conditions générales d'utilisation de la carte Carrefour.
61. S’agissant enfin de l’information délivrée aux personnes adhérant au programme fidélité à l’aide d’un bulletin papier, le rapporteur relève que les informations n’étaient pas non plus aisément accessibles. Il relève en effet que le bulletin résumait les mentions essentielles et renvoyait pour des mentions plus complètes, vers la page d’accueil du site carrefour.fr sans plus de précisions.
62. Sur ces points, la société avance qu’une page dédiée à la protection des données était directement accessible par un lien hypertexte en pied de page, et qu’elle a modifié les mentions d’information sur son site web le 22 novembre 2019, soit préalablement à l’ouverture de la procédure de sanction et à la notification du rapport. Ces modifications importantes ont notamment consisté en la fusion de l’ensemble des mentions d’information dans un document unique, la conservation d’une page dédiée à l’exercice des différents droits, et une reformulation de l’information communiquée afin de la rendre plus lisible, plus précise et plus simple.
63. La formation restreinte relève que la société a fait le choix d’une information en plusieurs niveaux, comme le lui permet le Règlement.
64. Dans cette configuration, la formation restreinte estime particulièrement important que l’information demeure aisément accessible , comme l’exige l’article 12 du Règlement. La présentation de l’information en plusieurs niveaux augmente en effet le risque que l’information soit plus difficile à trouver. Or, le considérant 39 du RGPD souligne que
le principe de transparence exige que toute information et communication relatives au traitement de ces données à caractère personnel soient aisément accessibles, faciles à comprendre, et formulées en des termes clairs et simples
le principe de transparence exige que toute information adressée au public ou à la personne concernée soit concise, aisément accessible et facile à comprendre, et formulée en des termes clairs et simples et, en outre, lorsqu'il y a lieu, illustrée à l'aide d'éléments visuels.
65. En l’espèce, la formation restreinte considère,
d’une part,
66. Or ces deux documents étaient d’une longueur telle que l’utilisateur était contraint de faire défiler un grand nombre de pages et de lire plusieurs dizaines de paragraphes (une quinzaine dans les conditions générales d'utilisation du site carrefour.fr, plus de soixante-dix dans les conditions générales d'utilisation de la carte Carrefour) avant de pouvoir trouver les informations relatives à la protection de ses données à caractère personnel. La formation restreinte considère en conséquence que l’accès à ces informations n’était pas aisé et que l’utilisateur devait faire preuve d’une détermination particulière pour accéder aux informations sur ces questions. Elle rappelle que l’information doit être présentée de manière efficace et succincte afin d’éviter de noyer l’information à délivrer parmi d’autres contenus informatifs.
67. La difficulté d’accès à ces informations était en outre renforcée par leur redondance. En effet, les informations relatives à la protection des données à caractère personnel étant dispersées et morcelée entre plusieurs documents (conditions générales d'utilisation, conditions générales de vente, page relative à la protection des données personnelles , page dédiée à l’exercice des droits), certaines informations n’étaient présentes que sur certaines pages, alors que d’autres étaient présentées plusieurs fois.
68. Afin que l’utilisateur n’ait pas à chercher les informations pertinentes, la formation restreinte considère que celles-ci devraient être regroupées dans un document unique distinct des conditions générales d'utilisation. Elle partage ici la position développée par le G29 dans les lignes directrices sur la transparence au sens du Règlement adoptée dans leur version révisée le 11 avril 2018 (ci-après les lignes directrices sur la transparence ) qui estime que
la personne concernée ne doit pas avoir à chercher activement les informations couvertes par ces articles parmi d’autres informations telles que les conditions d’utilisation d’un site internet
69. Elle estime,
d’autre part
le premier niveau/la première modalité inclut les détails de la finalité du traitement, l’identité du responsable du traitement et une description des droits des personnes concernées
70. Or, la formation restreinte relève que le premier niveau d’information présent sur le site carrefour.fr, accessible à partir du lien données personnelles , ne fournissait pas ces informations essentielles mais uniquement quelques informations d’ordre général comme la possibilité, pour les personnes concernées, de
consulter les données personnelles qui [les] concernent
exercer les différents droits
71. Concernant les personnes adhérant au programme fidélité par le bulletin papier, la formation restreinte considère que, en renvoyant ces personnes vers le site carrefour.fr sans plus de précisions, la société n’a pas rendu l’information aisément accessible. La société aurait dû,


En second lieu
73. Il considère que l’ensemble des mentions d’informations (dans les conditions générales d'utilisation du site carrefour.fr, les formulaires papiers d’adhésion au programme fidélité et pour l’adhésion au même programme par l’espace client du site carrefour.fr) utilisaient des termes imprécis et peu clairs et n’étaient pas aisément compréhensibles en raison de leur mise en page.
74. Sur ce point, la société met en avant les modifications importantes apportées aux mentions d’information préalablement à l’ouverture de la procédure de sanction. Elle indique avoir, dès le mois de novembre 2019, mis en lignes une page d’information spécifique à la protection des données personnelles, séparée des conditions générales d'utilisation, accessible directement depuis la page d’accueil par un lien hypertexte.
75. La formation restreinte relève que les mentions d’information présentes sur le site carrefour.fr (tant dans les conditions générales d'utilisation que dans le processus d’adhésion au programme fidélité) et sur les bulletins d’inscription papier comportaient, au moment du contrôle le 24 mai 2019, des formulations peu claires, ambigües, ou imprécises. L’utilisation, de manière quasiment systématique notamment dans les conditions générales d'utilisation du site carrefour.fr et du programme fidélité, de termes tels que
ces traitements incluent



l’une ou plusieurs
vos données
sont susceptibles
vous disposez également d’un droit d’obtenir la limitation d’un traitement et d’un droit à la portabilité des données que vous avez pu fournir, qui trouveront à s’appliquer
dans certains cas
76. Les conditions générales d'utilisation du site carrefour.fr et du programme de fidélité ne comprenaient, dans la majorité des cas, que des exemples relatifs aux données collectées (
nous pouvons
éventuellement
vos données
pourront faire
l’une ou plusieurs
les personnes physiques devraient être informées des risques, règles, garanties et droits liés au traitement des données à caractère personnel et des modalités d'exercice de leurs droits en ce qui concerne ce traitement
rappelle que l’information communiquée présente une importance capitale, puisque sa conformité conditionne la validité de l’engagement de la personne et sa volonté de permettre le traitement de données à caractère personnel par un responsable de traitement déterminé. La personne concernée devrait être en mesure, à la lecture des informations qui lui sont communiquées, de comprendre la portée générale du traitement, ce qui n’est pas le cas en l’espèce.
77. Les formulations utilisées, souvent inutilement compliquées, rendaient la lecture des mentions d’information particulièrement fastidieuse, même pour une personne éclairée. Par exemple, une phrase comme
vous pouvez demander à exercer votre droit d’opposition pour motif pour des raisons tenant à votre situation particulière, à un traitement de données personnelles vous concernant lorsque le traitement est fondé sur l’intérêt légitime du responsable de traitement y compris le profilage
vos données pourront peut-être transmises à tout ou partie des destinataires suivantes : […] les marques partenaires, mais dans ce cas ces derniers n’ont pas accès ni directement ni indirectement aux données vous concernant et seuls [sic] des données liées à votre profil sans qu’il soit possible de vous identifier directement ou indirectement, aux sociétés du groupe Carrefour pour les finalités susvisées
78. La formation restreinte rappelle que l’information présentée était destinée à l’ensemble des utilisateurs des services de la société, qui peuvent avoir des profils très divers. La société aurait dû adopter un style permettant d’être compris par le plus grand nombre. La formation restreinte considère que tel n’était pas le cas en l’espèce.
79. D’une manière générale, la formation restreinte rappelle que les mentions d’information doivent s’attacher, autant que faire se peut, à utiliser un vocabulaire simple, faire des phrases courtes et employer un style direct, mais aussi éviter les termes juridiques ou techniques, les termes abstraits ou ambigus et les formules telles que
nous pourrions utiliser vos données
une possible utilisation de vos données
quelques données vous concernant sont utilisées
80. Au demeurant, la formation restreinte relève que, malgré le nombre très important d’informations communiquées, ces dernières n’étaient ni hiérarchisées, ni ordonnées. L’information prenait la forme d’une longue énumération portant sur les différents points du Règlement. Elle considère qu’une telle présentation ne permet pas aux personnes concernées de trouver facilement l’information qu’elle cherche, la contraignant à lire l’ensemble des mentions d’information. Elle estime donc que la présentation utilisée ne respectait pas l’exigence d’accessibilité posée par l’article 12 du Règlement, éclairée par les lignes directrices sur la transparence déjà citées.
81. La formation restreinte note que la combinaison des articles 12 et 13 du Règlement impose au responsable de traitement que l’information fournie soit à la fois complète et aisément compréhensible. Cet équilibre peut être difficile à atteindre lorsque, comme en l’espèce, les données traitées, les finalités poursuivies et les durées de conservations sont nombreuses et différentes. Pour autant, elle considère que la qualité de l’information fournie est centrale dans la décision des personnes concernées d’engager une relation commerciale. À ce titre, la formation restreinte estime que la société aurait dû porter à l’information communiquée une attention toute particulière et aboutir, avant même les contrôles opérés, à un résultat plus lisible pour les personnes.
2. S’agissant du contenu de l’information
82. Le rapporteur considère que l’information communiquée aux personnes est incomplète à plusieurs titres.
83. Premièrement, il indique que le responsable de traitement n’est pas correctement identifié sur le site carrefour.fr.
84. Deuxièmement, le rapporteur souligne que la base juridique des traitements n’est pas indiquée dès lors que la société se contente d’indiquer que les données à caractère personnel peuvent être traitées en raison du consentement de l’utilisateur, de l’exécution du contrat ou de l’intérêt légitime du responsable de traitement, sans plus de précisions.
85. Troisièmement, le rapporteur considère que l’information relative aux pays où peuvent être transférées les données n’est pas complète, les garanties entourant le transfert n’étant pas précisées, de même que le moyen d’obtenir copie de ces garanties.
86. Quatrièmement, il considère que les personnes ne sont pas informées, pour l’ensemble de leurs données, de la durée pendant laquelle elles peuvent être conservées.
87. Sur l’ensemble de ces points, la société a indiqué avoir apporté des modifications antérieurement et postérieurement à la notification du rapport et visant à sa mise en conformité. Elle avance qu’elle fournissait, au jour des contrôles, des informations complètes sur plusieurs points, et notamment les coordonnées de son délégué à la protection des données, les destinataires des données, l’existence de droits. Sur les points où elle reconnaît l’insuffisance de l’information qu’elle délivrait, elle indique avoir modifié ses mentions d’information conformément aux demandes du rapporteur pendant la procédure, notamment quant à l’identité du responsable de traitement, les finalités et bases légales des traitements opérés, les durées de conservation et le transfert de données à caractère personnel hors de l’Union européenne.
88. Sur le premier point, il ressort des constatations de la délégation de contrôle que la société CARREFOUR HYPERMARCHÉS était indiquée comme étant responsable des traitements mis en œuvre à travers le site carrefour.fr. Les sociétés CARREFOUR HYPERMARCHÉS, CARREFOUR SUPERMARCHÉS FRANCE, CARREFOUR PROXIMITÉ FRANCE, CARREFOUR DRIVE et OOSHOP étaient désignées dans les mentions d’information comme responsables de traitement conjoints pour le programme de fidélité.
89. La formation restreinte considère, sur le premier point, que la responsabilité des traitements mis en œuvre à partir du site carrefour.fr incombe à la société CARREFOUR FRANCE, qui détermine seule la politique marketing commune à tous les formats des magasins en France. Cette interprétation est conforme à l’analyse de la société CARREFOUR FRANCE, qui se considère également responsable de traitement comme elle l’a indiqué à la délégation de contrôle le 28 mai 2019.
90. En conséquence, la formation restreinte considère que les mentions portées sur le site carrefour.fr comme dans les conditions générales d'utilisation de la carte Carrefour étaient erronées.
91. Sur le deuxième point, la formation restreinte rappelle que les personnes concernées doivent être informées de la base légale du ou des traitements mis en œuvre. Cette exigence ne saurait être satisfaite de la seule référence faite aux bases légales existantes lorsque plusieurs traitements sont mis en œuvre. Dans cette hypothèse, les personnes ne sont en effet pas informées de la base légale applicable à chacun des traitements réalisés.
92. La formation restreinte considère que l’indication de la base légale applicable à chaque traitement présente une importance particulière. D’une part, elle permet à la personne concernée d’avoir une appréciation globale sur le traitement réalisé, notamment sur son origine. Elle doit ainsi être en mesure de savoir si les données traitées le sont sur le fondement du consentement qu’elle a donné (et qu’elle pourrait donc retirer), ou en vertu d’un contrat qu’elle aurait passé avec le responsable de traitement, d’une obligation légale de ce dernier ou encore de son intérêt légitime. D’autre part, et surtout, la base légale applicable peut avoir des conséquences directes sur les droits des personnes. Par exemple, l’article 20 du RGPD prévoit que le droit à la portabilité des données s’applique lorsque le traitement est fondé sur le consentement. Dès lors, la société avait l’obligation de préciser la base légale applicable à chaque traitement mis en œuvre.
93. En raison de l’absence de telles précisions, la formation restreinte considère que les mentions portées sur le site carrefour.fr étaient incomplètes.
94. Sur le troisième point, la formation restreinte souligne que l’article 13 du Règlement impose, en son point 1.f), que le responsable de traitement informe la personne concernée de
l'existence ou l'absence d'une décision d'adéquation rendue par la Commission ou, dans le cas des transferts visés à l’article 46 ou 47, ou à l’article 49, paragraphe 1, deuxième alinéa, la référence aux garanties appropriées ou adaptées et les moyens d'en obtenir une copie ou l'endroit où elles ont été mises à disposition
95. La formation restreinte constate que ces informations n’étaient pas communiquées aux personnes concernées au moment des constations effectuées par la délégation de contrôle. La formation restreinte considère que les mentions portées sur le site carrefour.fr étaient incomplètes.
96. Sur le quatrième point, la formation restreinte relève que l’article 13-2-a) du Règlement impose que les personnes soient informées de
la durée de conservation des données à caractère personnel ou, lorsque ce n'est pas possible, les critères utilisés pour déterminer cette durée
la période de conservation (ou les critères pour la déterminer) […] devrait être formulée de manière à ce que la personne concernée puisse évaluer […] quelle sera la période de conservation s’agissant de données spécifiques ou en cas de finalités spécifiques
97. En raison de l’absence de telles précisions, la formation restreinte considère que les mentions portées sur le site carrefour.fr étaient incomplètes.
98. Il ressort de l’ensemble de ces éléments que l’information communiquée aux personnes à travers le site carrefour.fr et à travers les bulletins papier d’adhésion au programme fidélité n’était pas aisément accessible et était incomplète. La formation restreinte considère donc qu’un manquement aux articles 12 et 13 du RGPD est constitué.
99. Elle souligne néanmoins l’important travail de mise en conformité apporté par la société s’agissant des mentions d’information présentes sur son site web et sur ses bulletins papier. Elle constate que les nouvelles pratiques de la société sont, au jour de la séance, en conformité avec le Règlement. La société démontre aujourd'hui une information claire, transparente, aisément accessible et complète sur l’ensemble de ses supports.
D. Sur le manquement relatif au droit d’accès
100. L’article 15 du RGPD dispose que les personnes concernées ont le droit d’obtenir du responsable de traitement la confirmation que des données à caractère personnel les concernant sont traitées ainsi qu’un certain nombre d’informations parmi lesquelles toute information disponible quant à l’origine des données, lorsque celles-ci ne sont pas collectées directement par le responsable de traitement (article 15-1-g).
101. Dans la saisine n

102. Il ressort des constatations effectuées le 12 juin 2019 que ce plaignant était un ancien client de la société OOSHOP, dont le site a, par la suite, été intégré au site carrefour.fr.
103. La société CARREFOUR FRANCE reconnaît ne pas avoir, dans un premier temps, communiqué au plaignant l’origine des données qu’elle détenait le concernant, considérant qu’elle traitait ces données personnelles dans le cadre d’une collecte directe, et non indirecte, et que l’origine des données figure parmi les informations devant être communiquées sur le fondement de l’article 15 du Règlement seulement en cas de collecte indirecte des données à caractère personnel.
104. Sur ce point, la formation restreinte relève que le plaignant avait précédemment créé un compte sur le site web ooshop. C’est à cette occasion que les données à caractère personnel le concernant avaient été collectées par la société OOSHOP. La formation restreinte considère que la fusion ultérieure entre le site web ooshop et le site carrefour.fr ne donne pas à la société CARREFOUR FRANCE la qualité de primo-collectant des données à caractère personnel. En effet, les données à caractère personnel ont été transmises à la société CARREFOUR FRANCE par la société OOSHOP, ce qui correspond au cas d’une collecte indirecte, les données n’ayant pas été collectées par CARREFOUR FRANCE auprès de la personne concernée. Dès lors, la formation restreinte considère que CARREFOUR FRANCE était tenu d’informer le plaignant de l’origine des données dans le cadre de sa demande d’accès, conformément à l’article 15-1-g) du RGPD.
105. La formation restreinte rappelle que le fait que le plaignant ait été informé de la fusion entre le site ooshop et le site carrefour.fr préalablement à sa demande à la société ne dispensait pas le responsable de traitement de son obligation d’information sur l’origine des données, formulée par le plaignant dans le cadre de l’exercice de ses droits.
106. Il ressort de ces éléments qu’un manquement à l’article 15 du Règlement est constitué.
107. La formation restreinte souligne néanmoins que la société a fait droit à la demande du plaignant le 19 juin 2019, après le contrôle réalisé mais avant l’engagement de la procédure de sanction, et que le manquement n’était donc plus constitué au jour de la séance.
E. Sur le manquement relatif au droit à l’effacement
108. L’article 17 du Règlement définit les conditions dans lesquelles les personnes concernées ont droit à l’effacement de leurs données à caractère personnel. L’article 17-1-c), notamment, offre ce droit lorsque les données ne sont plus nécessaires au regard des finalités du traitement ou lorsque la personne s’oppose au traitement mis en œuvre à des fins de prospection.
109. La Commission a été saisie de plusieurs plaintes relatives aux difficultés rencontrées dans le cadre de l’exercice de ce droit.
110. Par la saisine n

111. Les constatations opérées pendant le contrôle du 12 juin 2019 ont permis de constater la présence de l’adresse de courrier électronique du plaignant dans les bases de données de la société.
112. En défense, la société a expliqué que l’adresse électronique sert de clef d’entrée de la base en question et qu’elle ne peut donc être supprimée. Elle a en outre indiqué que la situation n’a entraîné aucun préjudice pour le plaignant, son opposition à la prospection ayant été prise en compte.
113. La formation restreinte souligne tout d’abord que la demande d’effacement de Monsieur […] du 28 mai 2018 était large et explicite :
je vous demande de supprimer toutes les données que vous pourriez avoir sur moi. Ces données seront rattachées à l’adresse mail


114. La formation restreinte constate que la société a fait le choix d’utiliser comme clef d’entrée de sa base de données l’adresse électronique des personnes, donc une donnée à caractère personnel. Cette décision purement pratique, sans que la conservation de la donnée en question soit justifiée par une quelconque finalité légitime au regard des éléments du dossier, ne saurait lui permettre de s’exonérer de ses obligations en matière d’exercice des droits. La formation restreinte estime que Monsieur […] pouvait légitimement, sur le fondement de l’article 17-1 c) du Règlement, exiger l’effacement de ses données utilisées à des fins de prospection commerciale et il revenait dès lors à la société d’accéder à cette demande et de mettre en place un système d’organisation de sa base de données qui ne portait pas atteinte à ce droit. En l’espèce, la formation restreinte relève que la société n’a pas respecté ses obligations résultant de l’article 17 du Règlement.
115. La formation restreinte observe néanmoins que la société a modifié l’architecture de ses bases postérieurement à la notification du rapport de sanction. Le nouveau mode de fonctionnement n’utilise plus de donnée à caractère personnel comme clef d’entrée de la base, et il a été fait droit à la demande de Monsieur […].
116. Par la saisine n

117. Les constatations opérées pendant le contrôle ont permis de constater la présence du nom, du prénom, de la date de naissance et du numéro de téléphone portable de la plaignante dans les bases de données de la société.
118. En défense, la société a expliqué que la présence de ces données résultait d’une erreur ponctuelle et qu’elle n’avait pas entraîné de conséquences pour la plaignante, son opposition à recevoir de la prospection commerciale ayant été prise en compte.
119. La formation restreinte considère que Madame […] pouvait légitimement, sur le fondement de l’article 17-1 c) du Règlement, exiger l’effacement de ses données utilisées à des fins de la prospection commerciale. Un manquement à l’article 17 du Règlement est donc constitué.
120. La formation restreinte relève néanmoins que la société a fait droit à la demande de Madame […] le 12 mai 2020.
121. Par la saisine n

122. Les constatations opérées pendant le contrôle ont permis de constater la présence du nom, du prénom, de la date de naissance et des adresses postale et électronique du plaignant dans les bases de données de la société.
123. La société explique que les données relevées n’étaient pas intégrées à une base servant à la prospection commerciale. Elle avance que, dans le cas d’une opposition à la prospection, elle fait droit à cette demande mais n’efface pas les données des bases n’étant pas dédiées à la prospection.
124. La formation restreinte relève que la demande de Monsieur […], portant sur l’arrêt de la prospection commerciale et l’effacement des données, était dénuée de toute ambiguïté Dans un premier courriel adressé à la société, le plaignant expliquait
Je souhaite obtenir la clôture de mon compte ainsi conformément aux articles 38 et suivants de la loi informatique et libertés du 6 janvier 1978 modifiée, je vous remercie de supprimer l’ensemble de mes données personnelles rattachées à ce compte
Ainsi, je réitère ma demande : en application des articles 21.1 et 17.1.c du Règlement général sur la protection des données (RGPD), je vous remercie de supprimer les données personnelles me concernant sur les sites suivants : carrefour.fr et courses-en-ligne.carrefour.fr
125. La formation restreinte relève néanmoins que, tout en contestant l’appréciation du rapporteur, la société a fait droit à la demande de Monsieur […] en procédant à l’effacement de toutes les données le concernant.
126. Par la saisine n

127. Les constatations opérées pendant le contrôle ont permis de constater la présence du nom, du prénom, de la date de naissance, des numéros de téléphone fixe et mobile et des adresses postale et électronique du plaignant dans les bases de données de la société.
128. La société explique que la présence de l’adresse postale du plaignant résulte d’une erreur ponctuelle et n’a pas entraîné de conséquence, son opposition à recevoir de la prospection commerciale ayant été prise en compte.
129. La formation restreinte estime que Monsieur […] pouvait légitimement, sur le fondement de l’article 17-1 c) du Règlement, exiger l’effacement de ses données. Un manquement à l’article 17 du Règlement est donc constitué.
130. La formation restreinte constate néanmoins que la société a rectifié son erreur dès qu’elle en a été informée, à la suite du contrôle réalisé le 11 juin 2019.

En conclusion
sur ces manquements
132. Au demeurant, la formation restreinte rappelle que le responsable de traitement a l’obligation de se rapprocher de la personne concernée lorsqu’il estime que les demandes qu’il reçoit ne comportent pas tous les éléments lui permettant de procéder aux opérations qui lui sont demandées (article 142 du décret n



133. En conséquence, dans chacun des cas précités, la société n’a pas respecté ses obligations résultant de l’article 17 du Règlement et qu’un manquement est caractérisé.
F. Sur le manquement relatif au droit d’opposition au traitement des données personnelles à des fins de prospection commerciale
134. Le deuxième paragraphe de l’article 21 du Règlement dispose que
lorsque les données à caractère personnel sont traitées à des fins de prospection, la personne concernée a le droit de s'opposer à tout moment au traitement des données à caractère personnel la concernant à de telles fins de prospection
135. Par la saisine n


136. Les constatations opérées pendant le contrôle du 11 juin 2019 ont permis de constater que l’opposition du plaignant n’avait pas été retranscrite dans les bases de données de la société, ne permettant ainsi pas sa prise en compte effective.
137. La société explique que cette erreur, ponctuelle, est due à une carence de son prestataire qui ne lui avait pas transmis l’opposition en question.
138. La formation restreinte relève qu’il ressort des constatations opérées lors du contrôle, comme des pièces communiquées par la société, que le prestataire […] communique à la société les oppositions exprimées par les personnes au fil de l’eau . Ces transmissions sont également compilées lors d’un envoi mensuel, seul pris en compte par la société pour retranscrire les oppositions en base de données, tel qu’elle l’a indiqué dans le cadre de la procédure. Il ressort des pièces communiquées par la société durant la procédure que l’opposition de Monsieur […] n’avait pas été transmise dans un envoi compilé au jour du contrôle, le 11 juin 2019. Pour autant, la formation restreinte souligne que la société avait reçu cette opposition dans le cadre de la transmission au fil de l’eau et qu’elle aurait donc dû cesser toute prospection commerciale envers le plaignant. En tout état de cause, la délégation a constaté que cette opposition n’avait pas été prise en compte au jour du contrôle.
139. Dès lors, un manquement à l’article 21 du Règlement est constitué.
140. La formation restreinte note néanmoins que cette erreur a été corrigée par la société lors du contrôle réalisé le 11 juin 2019. Elle souligne surtout que la société a déployé d’importants moyens pour revoir en profondeur la répercussion des oppositions exprimées par SMS dans ses bases de données dans le cadre de la présente procédure. Elle constate que les oppositions sont désormais directement reçues, traitées et retranscrites en base, assurant un meilleur respect des droits.
141. Par la saisine n

142. Les constatations opérées pendant le contrôle ont permis de constater que l’opposition du plaignant n’avait pas été retranscrite dans les bases de données de la société.
143. La société explique que cette absence de retranscription provient d’une erreur humaine interne.
144. La formation restreinte considère en conséquence que la société n’avait pas respecté ses obligations résultant de l’article 21 du Règlement.
145. Elle note néanmoins que l’opposition du plaignant a été prise en compte et retranscrite en base de données lors du contrôle réalisé le 11 juin 2019.

En conclusion sur ces manquements
G. Sur le manquement relatif au droit d’opposition à la prospection par voie électronique
147. Le premier paragraphe de l’article L34-5 du code des postes et des communications électroniques dispose qu’
est interdite la prospection directe au moyen de système automatisé de communications électroniques au sens du 6° de l'article L. 32, d'un télécopieur ou de courriers électroniques utilisant les coordonnées d'une personne physique, abonné ou utilisateur, qui n'a pas exprimé préalablement son consentement à recevoir des prospections directes par ce moyen.
si les coordonnées du destinataire ont été recueillies auprès de lui, dans le respect des dispositions de la loi n

148. Par la saisine n

149. Le rapporteur considère que la société a manqué à ses obligations découlant de l’article L.34-5 du code des postes et des communications électroniques dès lors qu’elle n’a pas systématiquement offert aux destinataires de ses courriels de prospection un moyen simple et effectif de se désabonner dans les courriels en question.
150. La société reconnaît cette erreur mais estime qu’un manquement ne saurait être caractérisé à partir de cette unique occurrence.
151. Il ressort des explications fournies par la société lors du contrôle réalisé le 11 juillet 2019 qu’une telle erreur est effectivement intervenue dans un courriel de prospection adressé à plus de 350 000 personnes. La société indique que le lien de désinscription intégré au courriel de prospection renvoyait vers l’espace personnel du site carrefour.fr permettant aux personnes disposant d’un compte client de se désinscrire. Par erreur, des personnes ne possédant pas de compte client ont été ciblées par cette campagne de prospection. Lorsque ces personnes ont cliqué sur le lien de désinscription, il leur a été demandé, pour pouvoir se désinscrire, de se connecter à un compte client dont elles ne disposaient pas.
152. La société explique avoir immédiatement repéré l’erreur parce qu’elle a reçu un grand nombre de plaintes de clients ne pouvant pas exercer correctement leurs droits. Elle affirme donc que cette erreur n’est intervenue qu’une fois, puisqu’elle n’a pas reçu d’autres réclamations similaires.
153. La formation restreinte considère que les personnes ne disposant pas d’un compte client n’ont pas pu s’opposer simplement à l’utilisation de leurs données personnelles à des fins de prospection commerciale. En conséquence, un manquement à l’article L.34-5 du code des postes et des communications électroniques est constitué dès lors qu’aucun moyen de s’opposer à la prospection par voie électronique n’a été offert à ces personnes.
154. La formation restreinte relève néanmoins que la société a mis en place un lien de désinscription unique ne nécessitant pas de passer par le compte client pour se désinscrire. Dès lors, elle estime que la société a mis en œuvre les mesures nécessaires pour que les droits des personnes soient respectés à l’avenir.
H. Sur le manquement relatif à la sécurité des données à caractère personnel
155. L’article 32 du RGPD dispose que
le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque
156. Le rapporteur fait grief à la société de ne pas avoir mis en place les mesures nécessaires à la protection des données à caractère personnel qu’elle traite après avoir eu connaissance de l’existence d’une vulnérabilité sur son site web.
157. Il ressort des déclarations de la société faites lors du contrôle du 11 juillet 2019 que, lors d’un achat sur le site carrefour.fr, une facture est mise à disposition du client sur son espace personnel après la livraison de la commande ou le retrait en magasin. Cette facture est accessible par une adresse URL fixe. Toute personne disposant de cette adresse peut accéder à la facture émise sans qu’il soit nécessaire de s’authentifier et de se connecter à son espace client.
158. La société a identifié cette vulnérabilité technique le 16 novembre 2018, consignée dans le registre des incidents de sécurité sous le numéro 415342. Pour pallier cette vulnérabilité, la société a décidé du développement de deux mesures : l’ajout d’une chaîne de caractères aléatoire et un mécanisme d’authentification préalable obligatoire. La première mesure devait, en augmentant le nombre d’adresses URL potentielles, réduire le risque d’une déduction de l’adresse par incrémentation permettant d’accéder aux factures. La seconde mesure empêchait totalement l’accès aux factures par toute personne autre que la personne concernée.
159. La première mesure a été mise en place très rapidement par la société. Au jour du contrôle réalisé, soit presque huit mois après la découverte de la vulnérabilité, la seconde mesure n’avait toujours pas été déployée, et l’accès à une facture demeurait possible par toute personne disposant de son adresse URL.
160. Sur ce point, la société indique qu’elle avait déjà déployé, au jour du contrôle, une première mesure suffisante réduisant fortement le risque d’accès aux documents, et que la seconde mesure était en cours de déploiement.
161. La formation restreinte considère que l’ajout d’une chaîne de caractères aléatoire ne suffit pas, à elle seule, à empêcher un accès indu aux données à caractère personnel de tiers. Cette mesure permet de réduire le risque mais ne le fait pas disparaitre, l’accès demeurant possible. Elle rappelle que l’Agence nationale de la sécurité des systèmes d’information (ANSSI) alerte depuis 2013 sur cette vulnérabilité liée aux adresses URL, même
dans le cas d’URL composées de plusieurs dizaines de caractères parfaitement aléatoires
162. En conséquence, la formation restreinte considère que l’absence de mise en place de l’authentification préalable obligatoire à la suite de la découverte de la vulnérabilité – alors que cette mesure avait été identifiée et qu’elle est la seule mesure permettant d’empêcher complètement le risque – constitue un manquement à l’article 32 du Règlement.
163. La formation restreinte constate cependant que la société a mis en place une authentification obligatoire le 17 juillet 2019.
I. Sur le manquement relatif à la notification des violations de données à caractère personnel
164. L’article 33 du Règlement dispose qu’
en cas de violation de données à caractère personnel, le responsable du traitement en notifie la violation en question à l'autorité de contrôle compétente conformément à l'article 55, dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, à moins que la violation en question ne soit pas susceptible d'engendrer un risque pour les droits et libertés des personnes physiques
165. Le rapporteur estime que la société a manqué à son obligation de notifier les violations de données à caractère personnel, cette obligation ressortant des circonstances de la violation et des données concernées.
166. Il ressort des constatations effectuées lors du contrôle du 11 juillet 2019 que la société a identifié et consigné une attaque informatique dont elle avait été victime le 1

167. En défense, la société a indiqué que la violation était peu susceptible d’engendrer un risque pour les droits et libertés des personnes. Elle précise également que les personnes concernées n’ont subi aucun préjudice financier puisqu’aucun point de fidélité n’a été soustrait. Elle souligne qu’en toute hypothèse, les conditions générales d'utilisation de la carte Carrefour prévoient le remboursement des cagnottes des personnes concernées en cas d’attaque par des tiers.
168. La formation restreinte rappelle qu’en cas de violation de données à caractère personnel, le principe est celui de la notification à l’autorité de contrôle. L’absence de notification n’est possible que par exception, lorsque la violation n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes. En l’espèce, la formation restreinte considère que l’analyse des risques liés à cette violation n’amène pas à faire application de cette exception à l’obligation de notification. En effet, la gravité de la violation découle de l’origine à l’évidence malveillante de cette attaque, du grand nombre de personnes concernées et de la combinaison de plusieurs données personnelles auxquelles l’attaque a permis d’accéder et qui permettent l’identification et le contact direct des personnes concernées (les comptes clients pouvant comporter notamment l’identité des personnes, leur numéro de téléphone, leur adresse électronique et leur adresse physique).
169. La formation restreinte relève que les 4 000 comptes pour lesquels aucun accès effectif n’a été constaté mais qui ont fait l’objet d’une authentification réussie doivent être regardés comme participant à l’appréciation du risque. En effet, la formation restreinte rappelle que de nombreuses personnes utilisent une combinaison d’adresse électronique et de mot de passe identique sur un très grand nombre de sites web. Il existait donc un risque sérieux que les attaquants ayant identifié un couple adresse électronique/mot de passe valide essaient de le réutiliser sur d’autres sites web (technique appelée
credential stuffing
170. En conséquence, la formation restreinte considère qu’un manquement à l’article 33 du RGPD est constitué.
171. Elle souligne néanmoins que, malgré une divergence d’appréciation avec le rapporteur et dans un objectif de conformité, la société a notifié la violation à la CNIL le 19 juillet 2020 et était ainsi en conformité au jour de la séance.
J. Sur le manquement relatif aux cookies
172. L’article 82 de la loi informatique et libertés (article 32.II dans une rédaction identique au jour des constatations) impose que les utilisateurs soient informés et que leur consentement soit recueilli avant toute opération d’accès ou d’inscription à des informations déjà stockées dans son équipement. Tout dépôt de cookie ou autres traceurs doit donc être précédé de l’information et du consentement des personnes. Cette exigence ne s’applique pas aux cookies ayant
pour finalité exclusive de permettre ou faciliter la communication par voie électronique
strictement nécessaire à la fourniture d'un service de communication en ligne à la demande expresse de l'utilisateur
173. Le rapporteur considère que la société ne respectait pas ces dispositions dès lors qu’il ressort du contrôle en ligne du 24 mai 2019 qu’en arrivant sur le site web carrefour.fr plusieurs cookies ne rentrant pas dans les deux cas rappelés ci-avant étaient déposés sur le terminal de l’utilisateur dès la connexion à la page d’accueil du site et avant toute action de sa part.
174. La société ne conteste pas ces éléments.
175. La formation restreinte relève qu’en l’espèce, le dépôt de trente-neuf cookies était automatique dès l’arrivée sur la page d’accueil du site, et avant tout action de l’utilisateur. Parmi ces trente-neuf cookies, trois appartenaient à la solution Google Analytics (cookies _gid , _ga et _gat_gtag_UA_3928615_46 ).
176. S’agissant de ces trois cookies, dits
Google analytics,
l’intégration de Google Analytics dans Google Ads (…) permet [aux annonceurs] de savoir précisément dans quelle mesure [leurs] annonces se traduisent par des conversions, puis d’ajuster rapidement les créations et les enchères en conséquence. [Les annonceurs peuvent] également combiner les produits afin d’identifier [leurs] segments les plus intéressants, puis susciter l’intérêt de ces utilisateurs à l’aide de messages personnalisés
177. Dès lors, ces cookies n’ont pas pour finalité exclusive de permettre ou de faciliter la communication par voie électronique et ne sont pas strictement nécessaires à la fourniture du service. Leur dépôt aurait donc dû obliger la société à recueillir préalablement le consentement des utilisateurs.
178. La formation restreinte considère, en conséquence, qu’un manquement à l’article 82 de la loi n

179. La formation restreinte souligne néanmoins que la société a apporté d’importantes modifications sur son site web durant la procédure de sanction. Ces modifications ont amené, notamment, à l’arrêt du dépôt automatique de cookies à l’arrivée sur la page d’accueil du site depuis le 5 février 2020.
III. Sur les mesures correctrices et la publicité
180. Aux termes du III de l’article 20 de la loi du 6 janvier 1978 :
Lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l'informatique et des libertés peut également, le cas échéant après lui avoir adressé l'avertissement prévu au I du présent article ou, le cas échéant en complément d'une mise en demeure prévue au II, saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l'une ou de plusieurs des mesures suivantes : […]
7° À l'exception des cas où le traitement est mis en œuvre par l'État, une amende administrative ne pouvant excéder 10 millions d'euros ou, s'agissant d'une entreprise, 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l'article 83 du règlement (UE) 2016/679 du 27 avril 2016, ces plafonds sont portés, respectivement, à 20 millions d'euros et 4 % dudit chiffre d'affaires. La formation restreinte prend en compte, dans la détermination du montant de l'amende, les critères précisés au même article 83.
181. L’article 83 du RGPD prévoit :
1. Chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour des violations du présent règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives.
2. Selon les caractéristiques propres à chaque cas, les amendes administratives sont imposées en complément ou à la place des mesures visées à l'article 58, paragraphe 2, points a) à h), et j). Pour décider s'il y a lieu d'imposer une amende administrative et pour décider du montant de l'amende administrative, il est dûment tenu compte, dans chaque cas d'espèce, des éléments suivants :
a) la nature, la gravité et la durée de la violation, compte tenu de la nature, de la portée ou de la finalité du traitement concerné, ainsi que du nombre de personnes concernées affectées et le niveau de dommage qu'elles ont subi ;
b) le fait que la violation a été commise délibérément ou par négligence ;
c) toute mesure prise par le responsable du traitement ou le sous-traitant pour atténuer le dommage subi par les personnes concernées ;
d) le degré de responsabilité du responsable du traitement ou du sous-traitant, compte tenu des mesures techniques et organisationnelles qu'ils ont mises en œuvre en vertu des articles 25 et 32 ;
e) toute violation pertinente commise précédemment par le responsable du traitement ou le sous-traitant ;
f) le degré de coopération établi avec l'autorité de contrôle en vue de remédier à la violation et d'en atténuer les éventuels effets négatifs ;
g) les catégories de données à caractère personnel concernées par la violation ;
h) la manière dont l'autorité de contrôle a eu connaissance de la violation, notamment si, et dans quelle mesure, le responsable du traitement ou le sous-traitant a notifié la violation ;
i) lorsque des mesures visées à l'article 58, paragraphe 2, ont été précédemment ordonnées à l'encontre du responsable du traitement ou du sous-traitant concerné pour le même objet, le respect de ces mesures ;
j) l'application de codes de conduite approuvés en application de l'article 40 ou de mécanismes de certification approuvés en application de l'article 42 ; et
k) toute autre circonstance aggravante ou atténuante applicable aux circonstances de l'espèce, telle que les avantages financiers obtenus ou les pertes évitées, directement ou indirectement, du fait de la violation.

, la formation restreinte souligne que la société a corrigé l’ensemble des manquements relevés dans le rapport de sanction au cours de la procédure. Sa conformité étant démontrée à ce jour, la formation restreinte considère qu’aucune injonction ne se justifie.
Sur les injonctions et la conformité

, la formation restreinte estime que, dans le cas d’espèce, les manquements précités justifient que soit prononcée une amende administrative à l’encontre de la société.
Sur le prononcé d’une amende et son montant
184. Concernant l’amende proposée par le rapporteur, la société soutient d’abord que le montant de l’amende proposée est excessif, plusieurs manquements n’étant, selon elle, pas constitués. Sur ce point, la formation restreinte considère que l’ensemble des manquements relevés par le rapporteur sont caractérisés en l’espèce, comme elle l’a détaillé précédemment dans les motifs de la décision.
185. La société soutient ensuite que les facteurs d’atténuation posés par l’article 83 du Règlement doivent amener à réduire le montant proposé par le rapporteur et que l’important travail de mise en conformité opéré doit être pris en compte.
186. La formation restreinte analyse les critères dressés par l’article 83 de la manière suivante.

S’agissant de la nature, de la gravité et de la durée de la violation
188. La formation restreinte relève que la plupart des manquements résultent de négligences, d’erreurs ponctuelles ou d’un manque d’anticipation des conséquences de l’entrée en application du Règlement.

S’agissant des mesures prises par le responsable du traitement

S’agissant du degré de coopération avec l’autorité de contrôle

S’agissant des catégories de données à caractère personnel concernées

S’agissant de la manière dont l'autorité de contrôle a eu connaissance de la violation

S’agissant des avantages tirés des manquements

En conclusion
195. Dès lors, la formation restreinte considère qu’une amende doit être prononcée.

, la société conteste en outre le mode de calcul de l’assiette de la sanction.
Sur l’assiette de l’amende
197. Sur ce point, la formation restreinte rappelle que l’article 83-5 du Règlement dispose que le montant des amendes prononcées pour les manquements retenus peut s’élever
dans le cas d'une entreprise,
jusqu'à 4 % du chiffre d'affaires annuel mondial total de l'exercice précédent
lorsque des amendes administratives sont imposées à une entreprise, ce terme doit, à cette fin, être compris comme une entreprise conformément aux articles 101 et 102 du traité sur le fonctionnement de l'Union européenne
pour infliger des amendes effectives, proportionnées et dissuasives, les autorités de contrôle s’en remettront à la définition de la notion d’entreprise fournie par la CJUE aux fins de l’application des articles 101 et 102 du traité FUE, à savoir que la notion d’entreprise doit s’entendre comme une unité économique pouvant être formée par la société mère et toutes les filiales concernées. Conformément au droit et à la jurisprudence de l’Union, il y a lieu d’entendre par entreprise l’unité économique engagée dans des activités commerciales ou économiques, quelle que soit la personne morale impliquée (considérant 150).
198. La formation restreinte considère que les filiales détenues par la société CARREFOUR FRANCE et bénéficiant des traitements doivent être considérées comme concernées au sens des lignes directrices précitées. En effet, dans le contexte du droit de la concurrence auquel le considérant 150 du Règlement fait directement référence, une entreprise
doit être comprise comme désignant une unité économique même si, du point de vue juridique, cette unité économique est constituée de plusieurs personnes physiques ou morales
199. La formation restreinte rappelle également que les amendes prononcées doivent avoir un caractère dissuasif. Au regard de cette exigence, il a été jugé que
une imputation de la responsabilité au successeur économique est justifiée aux fins de la mise en œuvre efficace des règles de la concurrence. En effet, si la Commission ne disposait pas d’une telle faculté, il serait aisé pour des entreprises de pouvoir échapper à des sanctions par des restructurations, des cessions ou d’autres changements juridiques ou organisationnels. L’objectif de réprimer les comportements contraires aux règles de la concurrence et d’en prévenir le renouvellement au moyen de sanctions dissuasives serait ainsi compromis
200. La formation restreinte considère que l’organisation juridique du groupe, et notamment de la société CARREFOUR FRANCE et de ses filiales, rendrait

201. En conséquence, la formation restreinte considère que, pour apprécier la notion d’entreprise conformément aux articles 101 et 102 du TFUE, il convient de prendre en compte le chiffre d'affaires réalisé par la société CARREFOUR FRANCE et par les filiales qu’elle détient et qui ont bénéficié des traitements. Il ressort des déclarations de la société lors du contrôle réalisé le 28 mai 2019 que les sociétés CARREFOUR HYPERMARCHÉS et CARREFOUR PROXIMITÉ FRANCE profitent du programme de mutualisation des données. Le service Marketing France de la société CARREFOUR FRANCE traite en effet les données mutualisées des clients de ces sociétés (nom, prénom, adresse physique et électronique, numéro de téléphone, historique d’achat) afin de leur adresser des publicités personnalisées pour les produits vendus dans ces enseignes. La formation restreinte souligne aussi que ces sociétés participent à la collecte des données à caractère personnel, puisque l’adhésion au programme fidélité est possible directement en magasin au travers de formulaires papier.
202. En conclusion, la formation restreinte retient que le chiffre d'affaires de l’entreprise, au sens d’unité économique, servant de base au calcul de l’assiette de l’amende s’élève à 14,9 milliards d’euros en 2019.
203. La formation restreinte considère néanmoins que la détermination du montant de l’amende doit prendre en compte la spécificité du modèle économique du secteur concerné, celui de la grande distribution, caractérisé par un chiffre d'affaires particulièrement élevé au regard des résultats nets dégagés par l’activité, celle-ci se distinguant par des volumes extrêmement importants et des marges faibles.
204. Dès lors, elle estime qu’une amende d’un montant de 2 250 000 euros est justifiée et proportionnée aux manquements relevés et à la situation de la société CARREFOUR FRANCE.

la société estime que la publicité de la sanction ne se justifie pas.
Sur la publicité de la décision
206. La formation restreinte considère, premièrement, que la gravité de certains manquements justifie, par elle-même, la publicité de la présente décision.
207. La formation restreinte rappelle, deuxièmement, que les manquements relatifs à la durée de conservation des données, aux modalités d’exercice des droits ou à l’information délivrée ont concerné un très grand nombre de personnes. Elle considère que la publicité de sa décision est le meilleur moyen d’informer les personnes de l’existence passée de ces manquements. Elle note que les personnes ne peuvent avoir connaissance de certains manquements (comme celui relatif à la durée de conservation) que grâce à cette publicité de sa décision.
208. Il résulte de tout ce qui précède et de la prise en compte des critères fixés à l’article 83 du règlement qu’une amende administrative à hauteur de 2 250 000 euros ainsi qu’une sanction complémentaire de publication pour une durée de deux ans sont justifiées et proportionnées.
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide de :

prononcer à l’encontre de la société CARREFOUR FRANCE une amende administrative d’un montant de 2 250 000 (deux millions deux cent cinquante mille) euros pour les manquements aux articles 5-1 e), 12, 13, 15, 17, 21, 32 et 33 du RGPD, à l’article L34-5 du code des postes et des communications électroniques et à l’article 82 (anciennement 32.II) de la loi informatique et libertés ;

rendre publique, sur le site de la CNIL et sur le site de Légifrance, sa délibération, qui n’identifiera plus nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.
Le président
Alexandre LINDEN
Cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’État dans un délai de deux mois à compter de sa notification.
