Action concernant l’enseigne LA HALLE suite à l’utilisation de Google reCAPTCHA sur le site LAHALLE.COM
En novembre 2022, le site de l’enseigne LA HALLE, « LAHALLE.COM », édité par la société PEGASE, utilisait Google reCAPTCHA et l’exécutait au chargement de la page, avant la moindre action de l’internaute.
Une plainte a été déposée à la CNIL pour demander notamment que Google reCAPTCHA soit retiré. La Commission a répondu, un an plus tard, que « les services de la CNIL sont intervenus […] auprès de la société Pegase SAS afin de lui rappeler la réglementation applicable en matière de cookies et traceurs ainsi que celle applicable en matière de transferts de données hors de l’Union Européenne et plus particulièrement vers les Etats-Unis ».
En février 2024, il a été constaté que Google reCAPTCHA avait été retiré.
Chronologie des événements :
-
Plainte déposée à la CNIL
La plainte n° 44-5118 a été déposée à la CNIL pour demander que Google reCAPTCHA soit retiré, que les données collectées grâce à Google reCAPTCHA soient supprimées et que les personnes soient informées que des données personnelles ont été collectées sans leur consentement et transférées dans un pays ne garantissant pas une protection adéquate.Documents
- Plainte LaHalle.pdf
- www.lahalle.com_Archive [22-11-22 16-34-00].txt
-
Plainte transmise
La plainte n° 44-5118 a été transmise au service de l’exercice des droits et des plaintes de la CNIL. -
Message de la CNIL
La CNIL a indiqué que « les services de la CNIL sont intervenus […] auprès de la société Pegase SAS afin de lui rappeler la réglementation applicable en matière de cookies et traceurs ainsi que celle applicable en matière de transferts de données hors de l’Union Européenne et plus particulièrement vers les Etats-Unis ».Voir le message intégral
Monsieur Schmiedt,
Vous avez saisi la CNIL d'une réclamation à l'encontre de la société Pegase SAS concernant la présence de l'outil reCAPTCHA de la société Google sur le site web www.lahalle.com.
Vous attirez également l'attention de la CNIL sur le fait que l'usage de cet outil serait susceptible d'engendrer des transferts de données vers les États-Unis.
Nous vous informons que les services de la CNIL sont intervenus à l'appui de votre plainte auprès de la société Pegase SAS afin de lui rappeler la réglementation applicable en matière de cookies et traceurs ainsi que celle applicable en matière de transferts de données hors de l'Union Européenne et plus particulièrement vers les Etats-Unis. A cet égard, je vous informe que, depuis la réception de votre plainte, la Commission européenne a adopté une décision d'adéquation constatant que les États-Unis assurent un niveau de protection des données à caractère personnel équivalent à celui de l'Union européenne. Il ressort de cette décision que les organismes soumis au règlement général sur la protection des données (RGPD) peuvent désormais transférer des données à caractère personnel vers les organismes certifiés qui se sont engagés à adhérer à ce cadre légal. Aussi, depuis le 10 juillet 2023, les transferts de données vers les États-Unis dont vous faites état dans votre plainte sont en principe conformes aux exigences posées par le règlement général sur la protection des données (RGPD).
S'agissant des transferts intervenus avant le 10 juillet 2023, la CNIL est intervenue à l'appui de votre demande auprès de l'organisme mis en cause. Elle lui a rappelé les obligations lui incombant sur l'encadrement des transferts de données vers un pays hors de l'Union européenne et plus particulièrement vers les Etats-Unis à la suite de l'invalidation de la décision 2016/1250 relative à l'adéquation de la protection assurée par le bouclier de protection des données entre l'Union européenne et les États-Unis (Privacy shield).
Compte tenu de ces éléments, je vous informe de la décision de la CNIL de clore votre plainte.
Si malgré cette intervention et l'écoulement d'un délai raisonnable pour le responsable de traitement pour adopter les mesures nécessaires, vous constatez que la problématique persiste, nous vous invitons à revenir vers nos services en nous saisissant d'une nouvelle plainte, par voie postale ou électronique en utilisant notre téléservice de plainte en ligne https://www.cnil.fr/fr/plaintes, et en y joignant tout élément utile à son instruction (nous vous invitons à également y mentionner le numéro de ce dossier). La CNIL examinera alors s'il convient de mener de plus amples investigations.
Je vous prie d'agréer mes salutations distinguées.
[RETIRÉ]
Juriste - Service de l'exercice des droits et des plaintes 2
Sous réserve de l'intérêt pour agir des requérants, les décisions de la CNIL sont susceptibles de faire l'objet d'un recours devant le Conseil d'Etat dans un délai de deux mois à compter de leur notification, augmenté :
- d'un mois pour les personnes qui demeurent en Guadeloupe, en Guyane, à la Martinique, à La Réunion, à Saint-Barthélemy, à Saint-Martin, à Mayotte, à Saint-Pierre-et-Miquelon, en Polynésie française, dans les îles Wallis et Futuna, en Nouvelle-Calédonie et dans les Terres australes et antarctiques françaises ;
- de deux mois pour les personnes qui demeurent à l'étranger.
-
Constatation
Google reCAPTCHA n’était plus intégré au site.