Le 22 juin 2023, l'autorité française de protection des données, la CNIL, a condamné Criteo à une amende de 40 millions d'euros pour avoir enfreint le règlement général sur la protection des données (RGPD). Cette amende est l'une des plus importantes jamais imposées en vertu du GDPR et envoie un message fort aux entreprises pour leur rappeler qu'elles doivent se conformer à la loi.
Criteo est une société internationale de technologie publicitaire qui collecte et utilise des données personnelles pour cibler les publicités destinées aux utilisateurs.
En quoi consistait la violation?
La CNIL a constaté que Criteo avait enfreint le GDPR de plusieurs manières, notamment:
- Ne pas avoir obtenu le consentement des utilisateurs pour la collecte et l'utilisation de leurs données personnelles.
- Ne pas fournir aux utilisateurs des informations claires et concises sur la manière dont leurs données sont collectées et utilisées.
- Ne pas donner aux utilisateurs le droit d'accéder à leurs données personnelles, de les rectifier et de les effacer.
- Ne pas prendre les mesures de sécurité appropriées pour protéger les données des utilisateurs.
Quelle a été la décision?
Comme indiqué précédemment, la CNIL a infligé à Criteo une amende de 40 millions d'euros pour les violations du RGPD. En plus de l'amende, la CNIL a également ordonné à Criteo de prendre des mesures pour se conformer au RGPD, y compris:
- Mettre en place une nouvelle plateforme de gestion des consentements conforme au RGPD.
- Fournir aux utilisateurs davantage d'informations sur la manière dont leurs données sont collectées et utilisées.
- Donner aux utilisateurs le droit d'accéder, de rectifier et d'effacer leurs données personnelles plus facilement.
- Prendre des mesures de sécurité supplémentaires pour protéger les données des utilisateurs.
La décision de la CNIL est une victoire importante pour les défenseurs de la vie privée et un avertissement aux autres entreprises qu'elles doivent se conformer au RGPD. Elle est également importante parce qu'elle fournit des indications supplémentaires sur la manière dont les entreprises peuvent se conformer au RGPD. La décision de la CNIL indique clairement que les entreprises doivent:
- Obtenir le consentement des utilisateurs pour la collecte et l'utilisation de leurs données personnelles d'une manière claire et concise.
- Fournir aux utilisateurs l'accès à leurs données personnelles et le droit de les rectifier ou de les effacer.
- Prendre des mesures de sécurité appropriées pour protéger les données des utilisateurs.
Cette décision constitue une évolution majeure dans le domaine de la protection de la vie privée et aura un impact important sur les entreprises qui collectent et utilisent des données à caractère personnel. Les entreprises qui ne se conforment pas au RGPD s'exposent à des amendes importantes et à d'autres sanctions.
Criteo a déclaré qu'elle ferait appel de la décision de la CNIL. Toutefois, l'amende et la décision de la CNIL envoient un message clair aux entreprises : elles doivent se conformer au RGPD sous peine d'en subir les conséquences.
Comment éviter les amendes liées au GDPR?
Pour éviter les amendes prévues par le RGPD, vous devez prendre les mesures suivantes:
- Obtenir un consentement valide de la part des utilisateurs pour collecter et utiliser leurs données personnelles. Le consentement doit être clair, concis et donné librement. Cela signifie que les utilisateurs doivent être en mesure de comprendre ce à quoi ils consentent et qu'ils ne doivent pas se sentir obligés de le faire.
- Fournir des informations claires et concises sur la manière dont leurs données sont collectées et utilisées. Ces informations doivent être faciles à comprendre et accessibles aux utilisateurs. Les informations doivent comprendre les éléments suivants:
- l'objectif de la collecte des données
- les types de données collectées
- Comment les données seront-elles utilisées ?
- les personnes avec lesquelles les données seront partagées
- Les droits d'accès, de rectification et d'effacement des données des utilisateurs - Donner aux utilisateurs le droit d'accéder à leurs données personnelles, de les rectifier et de les effacer. Les entreprises doivent faciliter l'exercice de ces droits par les utilisateurs. Il peut s'agir de permettre aux utilisateurs de télécharger leurs données, de corriger d'éventuelles inexactitudes ou de demander la suppression de leurs données.
- Prendre des mesures de sécurité appropriées pour protéger les données des utilisateurs. Il s'agit notamment de mesures visant à empêcher l'accès non autorisé aux données ou leur divulgation. Cela peut impliquer l'utilisation du cryptage, de pare-feu et d'autres mesures de sécurité.
En plus des étapes énumérées ci-dessus, vous devez également:
- Effectuer régulièrement des audits de données afin d'identifier et de combler les lacunes en matière de conformité.
- Mettre en place un système de gestion de la protection des données pour documenter et suivre vos efforts de mise en conformité.
- Former les employés aux meilleures pratiques en matière de protection des données.
- Mettre en place un plan d'intervention en cas de violation des données.
Plus précisément, pour remédier aux violations mentionnées dans l'article ci-dessus, vous devez:
- Vous assurer que votre mécanisme de consentement est clair et concis, et qu'il permet aux utilisateurs de choisir de manière significative s'ils souhaitent ou non consentir au traitement de leurs données
- Fournir aux utilisateurs des informations claires et concises sur la manière dont leurs données personnelles sont collectées et utilisées. Ces informations doivent être faciles à comprendre et accessibles aux utilisateurs.
- Faciliter l'accès, la rectification et l'effacement des données à caractère personnel des utilisateurs. Il peut s'agir de permettre aux utilisateurs de télécharger leurs données, de corriger d'éventuelles inexactitudes ou de demander la suppression de leurs données.
- Mettre en œuvre des mesures de sécurité appropriées pour protéger les données des utilisateurs. Il s'agit notamment de mesures visant à empêcher l'accès non autorisé aux données ou leur divulgation.
