Clôture d’une mise en demeure après mise en conformité d’une application avec les exigences de protection des données

La clôture de la procédure de contrôle intervient après examen des mesures correctrices communiquées par l’organisme mis en demeure. La CNIL constate que l’affichage obligatoire d’un écran de mise à jour bloque l’utilisation de la version obsolète de l’application et favorise le déploiement progressif d’une version conforme au décret du 29 mai 2020 relatif au traitement concerné.

La Commission relève également l’arrêt des appels au service reCaptcha de Google depuis l’application, ainsi que la conformité des mesures relatives à l’information des utilisateurs, au contrat de sous-traitance conclu avec INRIA et au contenu de l’analyse d’impact relative à la protection des données. Ces éléments permettent de considérer comme satisfaites les injonctions de la mise en demeure et de clôturer le dossier ainsi que la procédure de contrôle.

La clôture est publiée selon les mêmes modalités que la mise en demeure, sur les sites de Légifrance et de la CNIL. Elle ne prive pas la Commission de la possibilité de saisir ultérieurement sa formation restreinte en cas de persistance ou de réitération des manquements, sans nouvelle mise en demeure préalable, afin de solliciter les sanctions prévues par les articles 20 et suivants de la loi du 6 janvier 1978.

⬇️Télécharger la décision version officielle

L’organisme a corrigé les manquements relevés concernant l’application, le service reCaptcha, l’information des utilisateurs, la sous-traitance et l’analyse d’impact. La CNIL a constaté l’exécution des injonctions et clôturé le dossier ainsi que la procédure de contrôle. La clôture sera publiée selon les mêmes modalités que la mise en demeure.

La CNIL avait mis en demeure un organisme de corriger plusieurs manquements relatifs à une application traitant l’historique des contacts des utilisateurs. La procédure portait notamment sur le préfiltrage des données au niveau du téléphone, l’utilisation d’un service reCaptcha, l’information des utilisateurs, le contrat de sous-traitance conclu avec INRIA et le contenu de l’analyse d’impact relative à la protection des données.

L’organisme a instauré un écran de mise à jour obligatoire au lancement des versions obsolètes, empêchant leur utilisation sans téléchargement d’une version actualisée. Il a également interrompu les appels au service reCaptcha et pris des mesures correctrices concernant l’information, la sous-traitance et l’analyse d’impact.

Après examen de ces éléments, la CNIL a constaté l’exécution des injonctions et clôturé le dossier ainsi que la procédure de contrôle. La clôture doit être publiée selon les mêmes modalités que la mise en demeure.

• Empêcher l’utilisation des versions obsolètes de l’application
• Déployer progressivement une version conforme au décret du 29 mai 2020
• Mettre fin aux appels au service reCaptcha depuis l’application
• Rendre l’information des utilisateurs conforme aux injonctions
• Mettre en conformité le contrat de sous-traitance
• Compléter ou corriger l’analyse d’impact relative à la protection des données

• Écran de mise à jour affiché au lancement des versions obsolètes
• Blocage de l’interaction sans mise à jour depuis les magasins d’applications
• Constat de l’arrêt des appels au service reCaptcha
• Éléments communiqués sur l’information des utilisateurs et l’AIPD
• Contrat de sous-traitance conclu avec INRIA

L’organisme contrôlé bénéficie de la clôture de son dossier après exécution des injonctions, mais reste exposé à une nouvelle saisine de la formation restreinte en cas de persistance ou de réitération. La clôture est rendue publique selon les mêmes modalités que la mise en demeure.

• Maintien du blocage des versions obsolètes
• Poursuite du déploiement de la version conforme
• Conservation de l’arrêt des appels reCaptcha
• Actualisation continue de l’information et de l’AIPD
• Prévention de toute réitération des manquements
• Anticipation d’éventuelles sanctions sur le fondement des articles 20 et suivants

À faire

• Maintenir l’écran de mise à jour obligatoire
• Bloquer l’accès aux versions obsolètes
• Vérifier l’absence d’appels reCaptcha
• Actualiser l’information des utilisateurs
• Documenter le suivi de l’AIPD et de la sous-traitance

À éviter

• Réactiver une version obsolète de l’application
• Permettre une utilisation sans mise à jour
• Rétablir les appels au service reCaptcha
• Négliger les clauses du contrat de sous-traitance
• Laisser persister ou réitérer les manquements constatés

La clôture d’une procédure de contrôle après exécution des injonctions

La CNIL clôt le dossier et la procédure de contrôle après avoir constaté que les mesures correctrices répondent aux injonctions de la mise en demeure. Sont notamment retenus le blocage des versions obsolètes de l’application, l’arrêt des appels au service reCaptcha et la conformité des mesures relatives à l’information, à la sous-traitance et à l’analyse d’impact.

La publicité de la clôture d’une mise en demeure

La clôture fait l’objet de la même mesure de publicité que la mise en demeure. Le courrier est publié sur le site de Légifrance et sur celui de la CNIL.

La réitération des manquements et les sanctions administratives

En cas de persistance ou de réitération des manquements lors de vérifications ultérieures, la CNIL peut saisir sa formation restreinte sans adresser préalablement une nouvelle mise en demeure. Des sanctions prévues par les articles 20 et suivants de la loi du 6 janvier 1978 peuvent alors être prononcées.