Pour clôturer cette actualité RGPD de juin 2021, je vous livre juste le « Par ces motifs » de la délibération de la CNIL :

• « … une amende administrative d’un montant de 500 000 euros, qui se décompose comme suit :
  • 300 000 euros pour les manquements aux articles 5-1-e), 13, 17 et 32 du RGPD ;
  • 200 000 euros pour les manquements à l’article 82 de la loi n^o 78-17 du 6 janvier 1978 … et à l’article L. 34-5 du CPCE ;
• une injonction de mettre en conformité les traitements avec les obligations résultant des articles et 5-1-e) du RGPD et L. 34-5 du CPCE, et en particulier :

• s’agissant du manquement au principe de limitation de la durée de conservation des données [personnelles], mettre en œuvre une politique de durée de conservation des données [personnelles] qui n’excède pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées, et notamment :
  • cesser de conserver les données [personnelles] des anciens clients du site web de la société à l’issue de la période d’inactivité fixée, procéder à la purge de telles données conservées par la société jusqu’à la date de la délibération de la formation restreinte et justifier de la suppression de ces données [personnelles] au-delà d’une période d’inactivité définie, dont il appartiendra à la société de justifier ;
  • justifier d’une procédure d’archivage intermédiaire des données [personnelles] des clients, mise en place après avoir opéré un tri des données pertinentes à archiver et une suppression des données non pertinentes, ainsi que du point de départ de cet archivage (par exemple, s’agissant des factures archivées à des fins comptables) ;

• s’agissant du manquement à l’obligation de recueillir le consentement… par une opération de prospection directe au moyen d’un système automatisé de communications électroniques : cesser de prospecter les personnes non clientes n’ayant pas exprimé leur consentement, sauf à obtenir leur consentement ;

• assortir l’injonction d’une astreinte de 500 (cinq cents) euros par jour de retard… ;
• rendre publique, sur le site de la CNIL et sur le site de Légifrance, sa délibération, qui n’identifiera plus nommément la société à l’expiration d’un délai de deux ans à compter de sa publication »