Données personnelles : Canal+ écope d’une amende de 600.000 euros

La Commission nationale de l’informatique et des libertés (Cnil) a frappé fort, contre un groupe majeur de médias. Elle a infligé une amende de 600.000 euros au groupe Canal+ le 12 octobre, a-t-elle annoncé dans un communiqué publié jeudi 19 octobre.

Depuis l’entrée en vigueur du Règlement général sur la protection des données (RGPD) en 2018, la gardienne des données personnelles a vu ses pouvoirs renforcés et a multiplié les sanctions de taille contre les entreprises et les administrations.

En cause dans le cas de Canal+, les difficultés rencontrées par des abonnés «dans la prise en compte de leurs droits» par la société éditrice de chaînes et distributrice d’offres de télévision payante, qui a donné lieu à «plusieurs plaintes», précise la Cnil dans son communiqué.

A ce titre, la Cnil estime que le groupe Canal+ «a manqué à plusieurs obligations prévues par le RGPD et le Code des postes et des communications électroniques (CPCE)». Dans le cadre de cette décision, qu’elle vient de rendre publique, la Cnil précise avoir «procédé à un contrôle en ligne du site web de la société et à un contrôle sur pièces».

Nombreux manquements au RGPD

Parmi les manquements sanctionnés, la Cnil signale «un manquement à l’obligation de recueillir le consentement des personnes à recevoir de la prospection commerciale par voie électronique» : le groupe de médias n’a «pas été en mesure» de fournir à la Cnil des éléments démontrant qu’elle avait recueilli le consentement préalable des prospects, souligne l’institution.

Elle pointe aussi des «manquements à l’obligation d’information et au respect de l’exercice des droits» des particuliers au titre du règlement général sur la protection des données personnelles (RGPD) : que ce soit lors de la création d’un compte MyCanal ou lors des appels de démarchage téléphonique. En outre, le groupe de médias n’a pas répondu à certains plaignants «dans le délai d’un mois prévu par les textes», et n’a pas fait suite «à certaines demandes d’accès» aux données émises par des particuliers.

La Commission pointe aussi un «manquement à l’obligation d’encadrer les traitements effectués par un sous-traitant par un contrat» : elle a constaté qu’un contrat de sous-traitance ne comportait pas toutes les mentions requises par le RGPD.

Elle a aussi relevé un «manquement» par le groupe «à l’obligation de notifier à la Cnil une violation de données», qui a rendu accessibles certaines données d’abonnés à d’autres abonnés pendant une durée de cinq heures, et qui n’a pas été signalée à la Cnil.