Délibération SAN-2021-010
Assurance (société d'assurance mutuelle) : 1 750 000 € d’amende, délibération SAN-2021-010
Le 20 juillet 2021, la formation restreinte de la CNIL a infligé 1 750 000 € à une société du secteur « Assurance (société d'assurance mutuelle) » pour manquements aux dispositions suivantes : article 5 §1 e) du RGPD, article 13 du RGPD, article 14 du RGPD (délibération SAN-2021-010).
Les faits
Le contrôle du 29 octobre 2019 vise les données des clients et des prospects d'un groupe de protection sociale. L'organisme avait fixé lui-même trois ans de conservation maximale pour les prospects. Il garde pourtant des données de prospects sans contact depuis plus longtemps.
| Date | 20 juillet 2021 |
|---|---|
| Numéro | SAN-2021-010 |
| Organisme | Non communiqué (délibération publiée sans le nom) |
| Secteur | Assurance (société d'assurance mutuelle) |
| Amende | 1 750 000 € |
| Autres mesures | Publication ; anonymisation après un an |
| Canaux | Non précisé dans la décision |
| Origine des données | Non précisée dans la décision : prospects issus de fichiers tiers loués, et clients |
| Texte de la délibération | Lire sur Légifrance |
Les manquements retenus
Article 5, paragraphe 1, e) du RGPD
Limitation de la conservation : pas plus longtemps que nécessaireLa délégation trouve en base active des prospects sans contact depuis plus de trois ans.
« la délégation a constaté la présence, en base active, des données à caractère personnel de 1917 prospects n’ayant pas eu de contact avec la société depuis plus de trois ans »
Extrait de la délibération SAN-2021-010
Autres dispositions retenues par la délibération : article 13 du RGPD, article 14 du RGPD.
Les textes cités
- Article 5, paragraphe 1, e) du RGPD : limitation de la conservation : pas plus longtemps que nécessaire. Version : règlement (UE) 2016/679 du 27/04/2016, JOUE L 119 du 04/05/2016, texte relu le 21/10/2026.
- Article 13 du RGPD : information quand les données sont collectées auprès de la personne. Version : règlement (UE) 2016/679 du 27/04/2016, JOUE L 119 du 04/05/2016, texte relu le 21/10/2026.
- Article 14 du RGPD : information quand les données ne viennent pas de la personne. Version : règlement (UE) 2016/679 du 27/04/2016, JOUE L 119 du 04/05/2016, texte relu le 21/10/2026.
Ce que le donneur d’ordre en retient
Contrôle à exiger d’un prestataire ou d’un vendeur de fichier :
- Fixer par écrit la durée de conservation des prospects et exiger une purge dont la date est visible.
Des sanctions pour le même manquement
Votre campagne, et le régime qui s’y applique
Décrivez qui vous voulez toucher et par quels canaux. La demande part vers un seul professionnel de la prospection, qui vous répond par écrit.