SPARTOO sanctionné suite à une conservation trop importante de données personnelles, un manque d’informations et des faiblesses de sécurité

La CNIL a sanctionné la société SPARTOO, éditeur du site « SPARTOO.COM », le 28 juillet 2020, pour de nombreux manquements relatifs au RGPD, notamment une conservation trop importante de données personnelles, un manque d’informations et un manque de sécurité.

Conservation trop importante de données personnelles

Concernant la conservation de données personnelles, la Commission reproche au spécialiste de la vente de ligne de vêtements et chaussures « l’enregistrement intégral et permanent des appels téléphoniques reçus par les salariés du service client » effectué, d’après la société, pour évaluer et former les salariés. La CNIL a rappelé à SPARTOO que les données enregistrées devaient être « limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées »^[1]. Étant donné que la personne chargée de la formation n’écoutait « généralement qu’un enregistrement par semaine et par salarié, l’enregistrement « intégral et permanent » des appels téléphoniques était « excessif ».

Toujours concernant ces enregistrements, la CNIL reproche aussi à SPARTOO de ne pas avoir implémenté un mécanisme pour éviter l’enregistrement des coordonnées bancaires des clients, qui étaient communiquées lorsque les clients appelaient pour passer une commande par téléphone. La Commission considère que l’enregistrement, en clair, de coordonnées bancaires « n’est pas justifié » lorsque l’objectif est la formation des salariés.

Par ailleurs, la société SPARTOO demandait à ses clients italiens, dans le cadre de la lutte contre la fraude, de lui fournir une copie de la carte d’identité et une copie de la carte de santé^[2]. La CNIL a considéré que la collecte de deux documents d’identité était, encore une fois, « excessive ».

Conservation trop longue de données personnelles

Concernant la durée de conservation des données, la société conservait des informations sur ses clients et prospects, alors que les personnes ne s’étaient pas connectées pendant de nombreuses années, parfois plus de dix ans.

La CNIL a rappelé à l’éditeur que « les données à caractère personnel doivent être conservées […] pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées »^[3] et a indiqué que les données des clients et prospects auraient dû être conservées pendant une durée prédéfinie adaptée. Pour le cas de SPARTOO, « la durée de deux ans apparaît proportionnée »^[4].

Par ailleurs, lors de la procédure, la société SPARTOO a indiqué utiliser l’ouverture d’un e-mail^[5] promotionnel pour justifier le caractère actif d’un prospect ou d’un client. La Commission a cependant considéré que l’activité d’une personne ne peut pas se déduire de l’ouverture d’un e-mail, mais doit correspondre à « un évènement permettant de démontrer l’intérêt de la personne pour le message reçu, tel qu’un clic sur un lien hypertexte contenu dans un courriel »^[6].

Enfin, la société SPARTOO a mis en place un système pour éviter de supprimer les données des clients inactifs. Ce système consistait à garder une empreinte de l’adresse e-mail et du mot de passe pour permettre au client de retrouver ses identifiants, s’il décide de se reconnecter. La CNIL a cependant considéré que ce mécanisme, même s’il utilise une fonction de hachage robuste^[7], ne peut pas être considéré comme une forme « anonymisée » des données, mais uniquement comme une forme « pseudonymisée », car le mécanisme a pour objectif de permettre aux clients de retrouver leur compte.

Autres manquements

Concernant les informations relatives au traitement de données personnelles, la CNIL reproche aussi la société SPARTOO :

• de ne pas avoir informé les clients que les enregistrements des appels téléphoniques étaient transférés vers Madagascar^[8] ;
• de na pas avoir informé individuellement les salariés que les appels téléphoniques passés avec les clients étaient enregistrés.

Enfin, concernant la sécurité des données personnelles, la Commission reproche à la société :

• le manque de robustesse des mots de passe des clients^[9].
• la collecte par e-mail, non chiffré, des copies des cartes bancaires des clients^[10] ;
• la conservation, en clair, des copies des cartes bancaires des clients.

Une amende de 250 000 euros a été prononcée à l’encontre de la société SPARTOO, soit 0,15 % de son chiffre d’affaires^[11]. La société dispose de trois mois pour se mettre en conformité, sous peine d’une astreinte de 250 euros par jour.

Le 31 mars 2022, la CNIL a estimé que la société SPARTOO avait satisfait à l’ensemble de l’injonction.

Lire :

• La décision complète de la CNIL n° SAN-2020-003 du 28 juillet 2020 concernant la société SPARTOO SAS
• La décision de la CNIL N° SAN-2022-008 du 31 mars 2022 relative à l’injonction prononcée à l’encontre de la société SPARTOO