Intersport a partagé illégalement les coordonnées de 10 millions de clients avec Facebook

Lorsqu’un internaute souhaitait commander un article sur le site d’Intersport, l’enseigne lui imposait la création d’un compte client et l’acception de ses conditions générales de vente.

Ces conditions contenaient notamment un chapitre dédié aux traitements de données du client dans lesquel Intersport explique que les données collectées par l’enseigne sont « nécessaires au traitement de la commande, à son acheminement, à l’établissement de la facture, et à la mise en correspondance des données clients avec celles de la société FACEBOOK ».

Si on peut raisonnablement s’attendre, lorsqu’on commande sur un site marchand, à ce que ses données soient utilisées pour préparer sa commande, envoyer les articles, et établir une facture, on peut difficilement imaginer que le seul fait de passer commande entraîne l’envoi de ses données à l’une des plus grandes plateformes publicitaires de la planète –Facebook– pour réaliser des traitements de publicité ciblée.

Une telle pratique est évidemment douteuse et devait être étudiée.

Cet article détaille les investigations menées, l’échange préoccupant avec l’enseigne, et la plainte déposée à la CNIL, qui a finalement abouti à une sanction d’Intersport d’une amende de 3,5 millions d’euros, et évidemment l’arrêt des transferts de données vers Facebook.

La découverte hasardeuse des pratiques douteuses d’Intersport

L’histoire débute en juillet 2022, lorsque votre serviteur commande un article sur le site d’Intersport. Au cours de la procédure d’achat, un compte client a été créé et les conditions générales de la société ont été acceptées.

Déformation professionnelle oblige, les conditions générales ont été rapidement parcourues, avec une attention particulière sur l’article 10 dédié aux données personnelles. Le voici :

« ARTICLE 10 - DONNÉES PERSONNELLES

Les données collectées auprès de l’Internaute font l’objet d’un traitement informatisé par la société INTERSPORT FRANCE (société anonyme coopérative de commerçants détaillants à capital variable immatriculée au RCS de EVRY sous le numéro 964 201 123, et dont le siège social est situé 2 Rue Victor Hugo, 91160 LONGJUMEAU), en qualité de responsable de traitement.

Les données collectées sont réservées à l’usage de la Direction Marketing Client, Direction Stratégie Digitale & Innovation de la société INTERSPORT FRANCE et de la société FACEBOOK, agissant en qualité de sous-traitant. A ce titre, les données collectées sont susceptibles d’être transférées vers les Etats-Unis.

Les données faisant l’objet d’un transfert à la société FACEBOOK bénéficient d’un niveau de protection adéquat dans le cadre du « Privacy Shield ».

Les informations nominatives collectées sont nécessaires au traitement de la commande, à son acheminement, à l’établissement de la facture, et à la mise en correspondance des données clients avec celles de la société FACEBOOK.

Pour en savoir plus, cliquez ICI [ndlr : lien vers la page dédiée aux traitements de données] »

En lisant ces quelques lignes, on apprend que les données du client ne sont pas traitées exclusivement par Intersport. Elles sont aussi transférées et traitées par Facebook. Que vient faire Facebook dans un article laconique sur les traitements de données ? Pourquoi les données du client sont-elles envoyées Facebook et mises en correspondance avec sa base d’utilisateurs ? Puis, pourquoi parle-t-on de « Privacy Shield » alors que ce mécanisme a été jugé illégal deux ans plus tôt, en 2020, par la Cour de justice de l’Union européenne ?

Pour répondre à ces questions, et avant de voir ce que l’enseigne a à dire, étudions un peu la situation.

Comment Intersport peut justifier des transferts de données vers Facebook ?

Lorsqu’un traitement impliquant des données personnelles est réalisé, comme le transfert de données vers Facebook qui nous intéresse, la règlementation européenne impose au responsable de ce traitement de justifier d’une base légale, c’est-à-dire d’indiquer la raison qui autorise ce traitement.

Une des raisons suivantes peut notamment être avancée :

• le consentement, à l’instar des consentements à l’utilisation de cookies publicitaires qui pullulent sur le Web ;
• l’obligation légale, c’est-à-dire lorsque la législation vous impose certaines mesures, par exemple la production d’une facture suite à une commande du client ;
• l’intérêt vital d’une personne, par exemple lorsque les urgences d’un hôpital réalisent des démarches administratives informatisées pour une personne gravement accidentée ;
• l’exécution d’un contrat, par exemple lorsqu’un sous-traitant contractualise la réalisation d’un traitement de données avec une société, comme un gestionnaire de réservations pour un hôtel ;
• un « intérêt légitime », qui est en quelque sorte la raison fourre-tout utilisée par certaines entreprises lorsqu’elles n’arrivent pas à justifier leurs traitements par un autre moyen, mais qui doit tout de même de respecter trois conditions : justifier l’existence réelle de cet intérêt, prouver que le traitement est nécessaire pour atteindre cet intérêt, et prouver que droits et intérêts des personnes concernées ne prévalent pas.

Cette base légale doit non seulement être établie préalablement à la réalisation des traitements, mais doit également être communiquée aux personnes concernées. Cela leur permet de comprendre précisément les traitements réalisés, mais aussi de comprendre leurs droits associés, pour éventuellement les exercer, par exemple s’opposer aux traitements ou demander la suppression des données traitées.

Dans le cas d’Intersport, la base légale associée aux transferts de données vers Facebook n’est pas explicitée dans les conditions générales et n’est pas plus détaillée dans la politique de traitement des données de l’enseigne. Intersport se contente en effet de fournir une liste de bases légales possibles, sans les associer aux traitements concernés :

« INTERSPORT FRANCE peut être amenée à traiter vos Données Personnelles sur plusieurs fondements :
- sur la base juridique de l’exécution d’un contrat ou de mesures précontractuelles prises à votre demande, telles que la préparation et l’acheminement de votre commande, l’enregistrement d’une e-réservation ou la création d’une carte cadeau personnalisée ;
- sur la base du consentement ;
- sur la base de l’intérêt légitime d’INTERSPORT FRANCE. Les intérêts légitimes poursuivis par INTERSPORT FRANCE peuvent être :
- de vous faire bénéficier de promotions et recommandations personnalisées provenant d’INTERSPORT FRANCE ;
- de vous faire parvenir la Newsletter d’INTERSPORT FRANCE à l’adresse email que vous avez communiquée ;
- de gérer vos demandes d’information et vos avis en ligne afin notamment d’améliorer votre expérience d’Utilisateur ;
- la mise en place et l’amélioration des outils de vente à distance et l’amélioration constante de votre expérience d’achat ;
- la gestion et l’administration du Site ; »

Il est difficile de déterminer si ces explications floues sont communiquées au client de manière volontaire, pour l’empêcher de bien comprendre la nature des traitements réalisés, ou de manière involontaire, car Intersport est incapable d’expliquer simplement les traitements qu’elle réalise.

Quoi qu’il en soit, ces explications ne permettent pas de comprendre précisément la base légale de chaque traitement, notamment du transfert de données vers Facebook, et ne permettent donc pas de s’avoir s’il est possible de s’y opposer, ce qui est déjà problématique.

Voyons ce qu’Intersport peut dire sur ce sujet.

La réponse peu sérieuse d’Intersport

Un e-mail a été envoyé au délégué à la protection des données (DPO) d’Intersport, c’est-à-dire à la personne en charge des questions relatives aux traitements de données personnelles, pour la questionner sur ce point précis :

« Madame, Monsieur,

L’article 10 de vos conditions générales de vente (https://www.intersport.fr/cgv/) indique que les données à caractère personnel sont transférées à Facebook.

Concernant ce traitement, je souhaite connaître les données concernées, la finalité du traitement et la base légale de ce traitement.

De plus, je souhaite m’opposer à ce traitement. »

Quelques semaines plus tard, une réponse a été obtenue d’Intersport. La voici :

« Cher Client,

Nous faisons suite à votre demande d’accès et d’opposition en date du 28 juillet 2022.
Les données concernées par le traitement relatif au transfert des données vers notre partenaire Facebook sont les suivantes :
- Adresse email ;
- Numéro de téléphone ;
- Votre statut de client qui dépend du nombre de visites et du montant dépensé lors de chaque passage en caisse ;
- Votre statut fidélité : Team bronze/argent/or.

L’adresse email et le numéro de téléphone sont cryptés avant envoi sécurisé à notre partenaire Facebook.

Ce transfert repose sur votre consentement dans le cadre de votre adhésion au programme de fidélité. Il repose également sur l’intérêt légitime d’Intersport France en vous proposant des promotions personnalisées.

L’objectif de ce transfert est de proposer des publicités aux clients fidélité disposant d’un compte Facebook.

Nous accusons bonne réception de votre demande d’opposition.
En vous y opposant, vous ne recevrez plus de publicités de notre part, par email et par sms. Néanmoins, vous continuerez de bénéficier de l’ensemble de vos avantages fidélité.

Aussi, pouvez-vous nous confirmer votre accord de ne plus recevoir de prospection par sms et par email ? »

Il y a beaucoup de choses intéressantes dans cette réponse.

Concernant la base légale, Intersport indique que le transfert de données vers Facebook « repose sur le consentement dans le cadre de l’adhésion au programme de fidélité » et « également sur l’intérêt légitime d’Intersport France en vous proposant des promotions personnalisées ».

Il est difficile d’interpréter de telles explications car elles sont contradictoires. Doit-on comprendre que le simple fait d’adhérer au programme de fidélité entraîne un consentement aux transferts de ses données vers Facebook ? ou qu’Intersport demande le consentement au client avant de transférer ses données vers Facebook, et lorsque l’enseigne ne l’obtient pas, Intersport envoie quand même les données du client en prétextant des intérêts propres ? Pourquoi solliciter le consentement du client, si c’est pour réaliser un traitement dans tous les cas ? Puis, les intérêts d’Intersport à « proposer des promotions personnalisées » sont-ils importants au point d’imposer un tel traitement à ses clients, même s’ils s’y opposent ?

Quoi qu’il en soit, les explications fournies par Intersport ne permettent toujours pas d’établir avec certitude la base légale de ces transferts de données.

Concernant la possibilité de s’opposer au transfert de ses données, Intersport indique avoir « accusé bonne réception de ma demande d’opposition » et confirme que je « ne recevrai plus de publicités de leur part, par email et par sms ».

Il est également difficile d’interpréter ces explications, car l’enseigne ne confirme pas explicitement que mes données ne seront plus transférées à Facebook, seule la réception de publicités par email et par sms étant évoquée ; et car l’enseigne termine son mail en demandant confirmation pour « ne plus recevoir de prospection par sms et par email », ce qui laisse sous-entendre que l’opposition n’est pas encore effective, et ce qui est étrange lorsqu’on indique quelques phrases plus haut avoir « accusé bonne réception de la demande d’opposition ».

À ce stade, on peut légitimement se demander si la volonté d’Intersport n’est pas d’embrouiller le client en lui communiquant des informations peu compréhensibles et contradictoires, ou si ces agissements relèvent d’une série de graves négligences.

Concernant les données envoyées à Facebook, Intersport indique que les données transférées sont l’adresse e-mail, le numéro de téléphone et le statut du compte fidélité du client. Pourquoi ces données-là ? L’enseigne ne le précise pas, mais l’adresse e-mail et le numéro de téléphoniques sont très probablement utilisés par Facebook pour identifier précisément les clients d’Intersport dans sa base d’utilisateurs.

Enfin, cerise sur le gâteau, Intersport se veut rassurante car elle indique que « l’adresse email et le numéro de téléphone sont cryptés avant envoi sécurisé à notre partenaire Facebook ». En réalité, ces explications sont, encore une fois, difficiles à interpréter.

Lorsque des données sont transférées et que l’on souhaite assurer la confidentialité des données entre l’émetteur et le destinataire, un chiffrement peut être appliqué aux données, à l’instar des chiffrements appliqués lorsqu’un internaute visite un site Web ou effectue un paiement en ligne. On dit alors que les données sont chiffrées, que l’émetteur chiffre les données avec une clé, puis que le destinataire les déchiffre avec une clé (identique ou différente de l’émetteur selon le type de chiffrement utilisé).

En français, le terme crypter n’est pas un synonyme de chiffrer. Le terme crypter ne devrait même pas exister. Seul le terme décrypter existe et signifie le fait de déchiffrer des données sans posséder la clé, comme des enfants des années 90 qui décryptent le signal brouillé de Canal+ sans posséder le décodeur, ou comme Alan Turing décrypte les messages ennemis pedant la guerre.

Un particulier peut ne pas maîtriser cette nuance. Un professionnel de la protection des données, comme un délégué à la protection des données, devrait les maîtriser pour ne pas induire les personnes en erreur.

Quoi qu’il en soit, pourquoi Intersport précise le fait que les données des clients sont chiffrées avant leur transfert vers Facebook ? Cela veut-il dire que les données ne sont pas transmises en clair, sans chiffrement ? En réalité, on se rend compte en étudiant la politique des traitements de données d’Intersport, particulièrement l’article 9 dédié à la « sécurité des données à caractère personnel », que cette subtilité n’a finalement que peu d’importance, puisqu’Intersport explique « procéder au hachage des données avant leur transfert vers la société FACEBOOK ».

Les adresses e-mails et numéros de téléphone des clients ne seraient donc pas « cryptés », mais hachés et seules les empreintes numériques des adresses et numéros de téléphone seraient transférées à Facebook.

Il est mathématiquement très compliqué, voire impossible, de retrouver la donnée initiale à partir de son empreinte numérique. Alors, quel intérêt a Facebook de recevoir des données si Facebook ne peut pas, ou très difficilement, les manipuler et en tirer profit ? La réponse est que Facebook a un autre moyen beaucoup plus facile de retrouver les adresses e-mails (ou numéros de téléphone) à partir des empreintes communiquées par Intersport. Il lui suffit de générer, de son côté, les empreintes des adresses e-mails (ou numéros de téléphone) de ses propres clients, puis de les comparer avec les empreintes communiquées par Intersport. Si elles correspondent, Facebook peut en déduire que les données concernent un utilisateur bien précis.

Finalement, pourquoi se donner autant de peine alors qu’Intersport pourrait simplement transférer les e-mails et numéros de téléphones directement à Facebook ? Cette méthode permet probablement à Intersport de ne pas dévoiler les données des clients qui ne sont pas utilisateurs de Facebook. En théorie, si Facebook n’arrive pas à faire correspondre une empreinte, les données associées lui sont inutiles, puisqu’elle est théoriquement incapable de retrouver l’adresse e-mail à partir de l’empreinte. En pratique, Facebook a sûrement un profil, réel ou dans l’ombre, de toutes les personnes sur terre à ce stade, que les personnes aient un compte Facebook ou non^[1].

Dernière chose, qui sera importante plus tard, notez-bien qu’Intersport confirme que je suis client, que je suis vraisemblablement concerné par ces transferts, et que je « continuerai de bénéficier de l’ensemble de mes avantages fidélité », donc que j’adhère semble-t-il au programme de fidélité de l’enseigne.

Les transferts d’Intersport sont-ils légaux ? Allo la CNIL ?

Étudions maintenant tous ces éléments d’un point de vue de la réglementation.

En France, en tant que pays membre de l’Union européenne, les traitements de données sont encadrés par le Règlement Général sur la Protection des Données (RGPD). Ce règlement s’applique à tous les traitements de données à caractère personnel. Dans le cas des transferts de données vers Facebook réalisés par Intersport, ce règlement s’applique évidemment puisque les données traitées, à savoir l’adresse e-mail client et le numéro de téléphone du client, se rapportent à des clients clairement identifiés.

C’est à la CNIL de faire appliquer ce règlement. La Commission a des ressources, physiques et budgétaires, pour effectuer des contrôles, exiger des réponses et, lorsqu’elle le souhaite, sanctionner les abus.

Une plainte a ainsi été soumise à la CNIL en juillet 2022 concernant les transferts de données vers Facebook réalisés par Intersport et ses probables manquements à la règlementation en matière de données personnelles.

Sur la base des investigations menées, les manquements suivants ont particulièrement été identifiés et justifiés :

• un manquement à l’obligation de licéité (c’est-à-dire la légalité) des traitements (article 6), car la base légale n’est pas clairement identifiée, que ce soit dans les conditions générales, dans la politique des traitements de données, ou dans les réponses apportées par l’enseigne ; et car Intersport semble prétexter un pseudo-consentement ou des intérêts légitimes douteux.
• un manquement à l’obligation d’information (article 13), car la finalité des traitements réalisés par Intersport n’est pas clairement communiquée et car les informations relatives aux transferts de données vers les États-Unis mentionnent un accord invalidé par la CJUE.
• un manquement à l’obligation de traiter les données « de manière licite, loyale et transparente » (article 5), car la légalité des transferts de données est douteuse, et car les explications communiquées sont susceptibles de tromper les personnes concernées.

La suspension des transferts des données a également été demandée, ainsi qu’une meilleure information et la suppression des données déjà transférées à Facebook.

Les réponses habituellement frustrantes de la CNIL

Contrairement à son habitude, où les plaintes sont rapidement clôturées avec un simple rappel aux obligations légales de la société, la CNIL semble avoir été intéressée par les faits et manquements étayés dans la plainte.

Six mois après le dépôt de la plainte, en janvier 2023, les services de la CNIL m’ont en effet demandé de leur adresser « l’adresse électronique et le numéro de téléphone renseignés lors de la création du compte personnel Intersport ». Une réponse leur a été envoyée le même jour, avec la confirmation que le compte existe toujours et qu’il est toujours associé à cette adresse et numéro.

Encore six mois plus tard, la CNIL a toutefois clôturé la plainte en prétextant que je ne serais pas concerné par les traitements de données effectués par Intersport :

« L’ensemble des informations que vous avez porté à la connaissance de la Commission ont bien été prises en compte et la Commission se réserve l’opportunité de mener des investigations sur la base de ces éléments.

Cependant, il apparaît que votre saisine ne peut pas être considérée comme une réclamation au sens de l’article 77 du RGPD, dans la mesure où elle porte sur des traitements de données à caractère personnel qui ne vous concernent pas directement. En effet, les services de la CNIL ont interrogé la société et il en ressort que vous n’êtes pas concerné par le traitement en cause.

Dès lors, la CNIL n’a aucune obligation de vous informer de son issue, en application des articles 77 et 78 du RGPD et il est procédé à la clôture de votre saisine. »

La CNIL n’a pas pour habitude d’expliquer ses actions. Il est donc difficile de savoir précisément ce qui l’a amenée à cette conclusion. Rappelez-vous, Intersport m’avait bien confirmé que j’étais client et que je bénéficiais toujours des avantages fidélité malgré ma demande d’opposition. Est-ce que mon opposition préalable à la plainte a conduit à m’exclure de ce traitement ? Nous ne le saurons jamais. Il est certes possible de faire appel de cette décision auprès du Conseil d’État, mais l’enjeu est relativement faible, le coût important et la probabilité de succès pas très élevée.

Quoi qu’il en soit, l’histoire devait s’arrêter là ... mais un événement inattendu est intervenu quelques années plus tard.

En janvier 2026, c’est-à-dire trois ans plus tard, la CNIL annonce avoir sanctionné une société d’un montant de 3,5 millions d’euros pour des faits étrangement similaires. Si la Commission n’a pas souhaité rendre publique le nom de la société en cause, la lecture des détails de la sanction ne laisse aucun doute sur le nom du coupable : Intersport.

Regardons de plus près cette décision.

La sanction de la CNIL d’une société anonyme

Lorsque la CNIL sanctionne une société, elle peut faire le choix de rendre publique cette sanction, c’est-à-dire de dénoncer publiquement la société et détailler publiquement ses agissements illégaux. Elle peut aussi décider de rendre publique la sanction tout en taisant le nom de la société incriminée et en biffant les faits qui pourraient trahir le secret.

Dans le cas de la sanction n° SAN-2025-017 du 22 janvier 2026 « concernant la société X », la Commission a choisi cette seconde option. Les explications et les conclusions de la sanction ont été rendues publiques, mais certains détails ont été retirés pour tenter de cacher l’identité de la société en cause.

En lisant la sanction, on apprend toutefois :

• que l’instruction de la CNIL concerne le site d’une enseigne française qui « permet notamment de créer un compte client, de faire des achats et d’adhérer à un programme de fidélité valable en ligne » comportant « près de 10,5 millions de membres en France, plus de 200 000 en Belgique, plus de 15 000 au Luxembourg », c’est-à-dire une société de taille importante, similaire à Intersport ;
• qu’« une délégation de la CNIL a réalisé un contrôle en ligne à partir du site web le 5 janvier 2023, et un contrôle sur place dans les locaux de la société le 26 janvier 2023 », c’est-à-dire juste après le dépôt de ma plainte concernant Intersport ;
• que la procédure concerne « les traitements relatifs à la présentation de publicité ciblée sur un réseau social [non nommé] afin de promouvoir les produits vendus par [l’enseigne] », c’est-à-dire des traitements similaires aux transferts réalisés entre Intersport et Facebook ;
• que les explications du traitement en cause sont décrites de la manière suivante : « la société [en cause] transmet l’adresse électronique et/ou le numéro de téléphone […] au [réseau social], afin que celui-ci les fasse correspondre avec les données des utilisateurs de son réseau social », c’est-à-dire un parfait résumé des transferts de données réalisés par la société Intersport vers Facebook ;
• que « les adresses électroniques [des clients] transmises au [réseau social] étaient hachées », c’est-à-dire un fonctionnement similaire au fonctionnement suspecté entre Intersport et Facebook ;
• et pour finir de vous convaincre, que l’article 10 des conditions générales de vente de la société incriminée relate que « les données collectées sont réservées à l’usage de la Direction Marketing Client, Direction Stratégie Digitale & Innovation de la société [en cause] et [du réseau social], agissant en qualité de sous-traitant. », c’est-à-dire mot pour mot le contenu de l’article 10 des CGV d’Intersport.

Il n’y a donc aucun doute à avoir. La société sanctionnée est bien Intersport. On peut d’ailleurs se demander quel intérêt a la CNIL d’« anonymiser » une sanction de manière aussi ridicule. Cette pseudo-anonymisation est probablement une énième tentative de sa part de protéger des intérêts privés, malgré le fait que plus de 10 millions de personnes sont concernés. Cela expliquerait d’ailleurs pourquoi ma plainte a été clôturée de manière douteuse. La CNIL savait probablement que les faits rapportés étaient graves, mais elle ne souhaitait pas rendre de comptes publiquement.

Quoi qu’il en soit, l’analyse de cette décision est très intéressante, car elle confirme l’analyse et les suppositions réalisées plus tôt.

Les pratiques illégales d’Intersport

La délibération pseudo-anonymisée de la CNIL a au moins le mérite d’établir les faits et de connaître l’analyse juridique de ces faits.

Concernant les transferts vers Facebook, les investigations de CNIL ont permis de confirmer :

• qu’Intersport réalisait bien des transferts vers Facebook de données des 10,5 millions de clients de son programme fidélité, « de fin 2018 à février 2024 », à des fins de publicité ciblée ;
• qu’Intersport transmettait bien à Facebook « les adresses électroniques et/ou les numéros de téléphone », les adresses e-mail étant hachées et les numéros de téléphone « transmis en clair » ;
• qu’Intersport justifiait ces transferts par « le consentement des personnes concernées » collecté lors de l’inscription au programme de fidélité de l’enseigne grâce à une case à cocher invitant le client « à être contacté par SMS pour "recevoir ses avantages fidélité" et/ou par courrier électronique pour recevoir "les meilleures offres" » d’Intersport.

« la [CNIL] relève que la société [Intersport] ne conteste pas qu’elle transmettait [à Facebook] les données de l’intégralité des adhérents au programme de fidélité ayant accepté la réception de messages de prospection par courrier électronique et/ou SMS, sans savoir à ce stade s’ils étaient ou non inscrits sur [Facebook] »

La CNIL a surtout considéré que ces transferts étaient illégaux, car Intersport n’indiquait pas de manière explicite la finalité publicitaire lors de la collecte du consentement du client. Le formulaire ne l’indiquait « pas clairement » et les informations contenues dans les conditions générales et la politique de traitement des données de l’enseigne « comportaient des informations partielles, qui n’étaient pas suffisamment explicites pour permettre aux personnes concernées d’avoir une vision claire du traitement en cause ».

La Commission a également confirmé que les empreintes des e-mails étaient effectivement transférées, mais que les numéros de téléphone « étaient transmis en clair ». Intersport n’a donc pas dit toute la vérité quand elle a affirmé que les données étaient « cryptées » avant d’être transférées.

Un manquement à l’obligation de traiter les données personnelles des clients de manière licite (article 6) a donc été confirmé.

Concernant les informations communiquées par Intersport, la Commission a également confirmé que la présentation des bases légales des traitements, exprimées dans les conditions générales et la politique de traitement des données de l’enseigne, à savoir une liste des bases légales sans correspondance avec les traitements concernés, était « imprécise » et « ne permettait pas aux utilisateurs d’appréhender pleinement les traitements mis en œuvre ni de comprendre que certains traitements étaient fondés sur leur consentement et qu’ils pouvaient par conséquent le retirer s’ils le souhaitaient ».

Aussi, la Commission a également confirmé que l’utilisation du Privacy Shield pour justifier des transferts vers les États-Unis « constituait une information erronée dans la mesure où, comme le relève la rapporteure, ce texte ne garantit plus, depuis la décision de la CJUE de juillet 2020 citée précédemment, une garantie juridique suffisante pour permettre le transfert des données personnelles de l’Union européenne vers les Etats-Unis ».

Un manquement à l’obligation de fournir une information « complète claire et précise (article 13) a donc été également été confirmé.

De plus, la CNIL a élargi ses investigations, ce qui a permis de constater d’autres pratiques condamnables, notamment :

• l’absence d’analyse d’impact avant la mise en place des transferts de données vers Facebook, alors même que « le traitement en cause concernait un volume important de données, qu’il était susceptible d’engendrer un risque élevé pour les droits et libertés des personnes » ;
• le manque de robustesse des mots de passe des clients, puisque « un mot de passe composé de huit caractères, avec la seule contrainte de devoir contenir au moins un chiffre, était accepté », ce qui est contraire aux bonnes pratiques de sécurité ;
• le manque de robustesse du stockage des mots de passe, puisque la fonction de hachage SHA256 était utilisée, c’est-à-dire une fonction qui « n’est pas considérée comme adaptée pour un stockage sécurisé des mots de passe » ;
• l’absence de consentement des personnes visitant le site d’Intersport avant l’utilisation de certains cookies non strictement nécessaires, notamment les cookies associés à l’outil de chat en ligne iAdvize, les cookies associés à l’outil de personnalisation de produits en fonction de l’historique de navigation du client Target2Sell, et l’outil destiné à recueillir la satisfaction des clients Wizville.

Pour tous ces manquements, une amende de 3,5 millions d’euros a été prononcée à l’encontre d’Intersport : 2,5 millions pour les manquements au RGPD (transferts de données, information des personnes et sécurisation des mots de passe) et 1 million pour l’utilisation illicite de cookies.

Pour justifier un tel montant, la Commission a retenu « le nombre particulièrement élevé de personnes concernées […] à savoir plus de 10,5 millions de personnes », le fait que les transferts des données vers Facebook « a duré plus de cinq années » et « de façon hebdomadaire », et le fait que les pratiques d’Intersport « révèle une particulière négligence » de la part de la société.

A votre service, la CNIL. De rien.

La CNIL a donc sanctionné Intersport en réutilisant intégralement les faits et les arguments qui lui ont été rapportés dans ma plainte. Pour autant, la Commission n’a pas jugé utile d’envoyer un simple message à la personne qui lui avait hautement facilité la tâche, pour l’informer que ses travaux ont été utiles, et qu’ils ont permis de mettre fin aux traitements illégaux impliquant des millions de personnes. La Commission a préféré œuvrer dans l’ombre, en indiquant, à tort, qu’elle n’a aucune obligation de rendre de comptes.

Certains penseront qu’après-tout, je n’étais peut-être pas réellement concerné par ces traitements et que la CNIL n’avait effectivement aucun compte à rendre. Cela n’est pas le cas. J’étais client de l’enseigne. J’avais utilisé leur site Web et avais passé commande. J’étais donc concerné par le caractère incompréhensible et illégal des informations communiquées dans les conditions générales et la politique de traitement des données, particulièrement les bases légales et les transferts de données hors de l’UE. J’étais concerné par les transferts vers Facebook, puisque l’enseigne m’a proposé de souscrire à son programme de fidélité lors de l’inscription, puisque j’ai échangé par écrit avec l’enseigne à ce sujet, et parce que l’enseigne m’a communiqué des informations mensongères à ce sujet. J’étais concerné par les cookies déposés illégalement dans mon terminal lors de la visite du site d’Intersport. J’étais concerné par le stockage non sécurisé de mon mot de passe. La CNIL devait donc me rendre des comptes, contrairement à ce qu’elle a avancé.

Chacun jugera le comportement de la CNIL. Il est probablement légitime de penser que cette manière de se comporter est inappropriée.

Que tirer de tout cela ?

Intersport déclare un chiffre d’affaires de 3,91 milliards d’euros^[2]. L’amende de 3,5 millions euros représente donc 0,09% du CA de l’année de la société. Etant donné que les transferts vers Facebook ont duré 5 ans et qu’ils ont probablement permis d’augmenter les ventes de l’enseigne –ce que la société conteste–, le montant de l’amende représente finalement 700 000 euros par an. Chacun jugera si ce montant est « effectif, proportionné et dissuasif », comme l’exige la règlementation, et s’il incitera les autres enseignes à ne pas les reproduire. On peut en douter. De toute façon, ce montant va dans les poches sans fond de l’État. L’intérêt est donc extrêmement limité.

Le plus important est ailleurs. Intersport a annoncé avoir cessé les transferts de données vers Facebook, avoir mis à jour et clarifié ses conditions générales et sa politique de traitement de données, avoir amélioré la sécurité de la gestion des mots de passe des clients, et avoir demandé le consentement des internautes avant l’utilisation de certains cookies non essentiels lors de la visite de son site. Tout cela est directement aux bénéfices des clients, et c’est de loin le plus important.