Monsieur,
Vous avez saisi la Commission nationale de l’informatique et des libertés (CNIL) d’un signalement relatif à la violation des données à caractère personnel des clients de la société DEEZER.
En particulier, vous avez indiqué que certaines données à caractère personnel des personnes concernées, supposées avoir été supprimées antérieurement à la violation, seraient touchées par cette dernière. Vous avez ajouté que la société DEEZER n’aurait pas informé individuellement les personnes concernées par cette fuite de données. Par ailleurs, vous avez enjoint la CNIL à déterminer si les mesures prises par la société DEEZER et visant à garantir la confidentialité des données étaient conformes à la règlementation applicable.
Tout d’abord, nous vous prions de bien vouloir excuser le délai de traitement de votre dossier. La Commission est saisie de toujours plus de plaintes et cela a des conséquences sur leurs délais de traitement.
Nous vous informons que dans le cadre de l’instruction de votre dossier, les services de la CNIL sont intervenus auprès de l’organisme mis en cause pour l’interroger sur les faits portés à son attention.
Dans le cadre des suites données à votre signalement, la Présidente de la CNIL a décidé d’ouvrir une procédure de contrôle afin de vérifier la conformité des traitements de données à caractère personnel que la société DEEZER met en œuvre.
Sur la base des éléments ainsi recueillis et après concertation avec les autres autorités européennes de protection des données concernées, la Présidente de la CNIL a adopté en application des dispositions de l’article 58.2.b) du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (RGPD) et 20.II de la Loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, les mesures correctrices suivantes :
UN RAPPEL AUX OBLIGATIONS LÉGALES s’agissant notamment de :
- de l’obligation de traiter des données adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées ;
- de l’obligation d’apporter une réponse aux personnes concernées dans un délai d’un mois à compter de leur demande, conformément à l’article 12 paragraphe 3 du RGPD.
2. UNE MISE EN DEMEURE, dans un délai de trois mois, de mettre en conformité ses traitements de données à caractère personnel et notamment, sous réserve des mesures qu’elle aurait déjà pu adopter, de :
- définir et mettre en œuvre des durées de conservation des données à caractère personnel traitées proportionnées aux finalités pour lesquelles elles sont traitées, notamment en supprimant les données qui ne sont plus pertinentes ;
- définir et mettre en œuvre une politique de complexité des mots de passe des comptes des utilisateurs du site web « www.deezer.com » suffisamment robuste pour assurer la sécurité de ces comptes conformément aux dispositions de l’article 32 du RGPD ;
- compléter la politique de confidentialité du service Deezer, accessible à partir du site web www.deezer.com, afin de fournir, conformément aux dispositions des articles 12 et 13 du RGPD, une information complète, concise, transparente, compréhensible et aisément accessible aux personnes concernées, notamment s’agissant des données conservées à des fins précontentieuses ;
- permettre aux personnes concernées, conformément aux dispositions de l’article L34-5 du CPCE, de s’opposer à la réception de prospection commerciale par voie électronique, et ce au moment de la collecte de leurs données à caractère personnel.
Compte tenu de l’ensemble de ces éléments, il est donc procédé à la clôture de votre dossier.
Veuillez agréer, Monsieur, nos salutations distinguées.
[RETIRÉ]
Adjointe à la Cheffe du Service des plaintes – Affaires numériques et commerciales
Sous réserve de l’intérêt pour agir des requérants, les décisions de la CNIL sont susceptibles de faire l’objet d’un recours devant le Conseil d’Etat dans un délai de deux mois à compter de leur notification, augmenté :
- d’un mois pour les personnes qui demeurent en Guadeloupe, en Guyane, à la Martinique, à La Réunion, à Saint-Barthélemy, à Saint-Martin, à Mayotte, à Saint-Pierre-et-Miquelon, en Polynésie française, dans les îles Wallis et Futuna, en Nouvelle-Calédonie et dans les Terres australes et antarctiques françaises ;
- de deux mois pour les personnes qui demeurent à l’étranger.