Le 28 juillet 2020, en plus de l’avoir condamnée à une amende de 250 000 euros, la formation restreinte de la CNIL – organe de la CNIL chargé de prononcer les sanctions – avait enjoint à la société SPARTOO de prendre plusieurs mesures pour se conformer au RGPD, dans un délai de trois mois :

• Ne plus enregistrer l’intégralité des appels téléphoniquesreçus par son service clients à des fins de formation des salariés. Sur ce point, la formation restreinte relève que la société SPARTOO n’enregistre désormais qu’une portion des appels.
• Ne pas conserver les données de ses clients au-delà de la durée nécessaire aux finalités pour lesquelles elles ont été collectées. La formation restreinte note que la société supprime désormais une partie des données de ses clients après une période de 3 ans à compter de la dernière activité du client, telle que sa dernière commande ou la dernière connexion à son compte. Les données restantes qu’elle conserve au-delà de cette période sont ensuite rendues anonymes.
• Compléter les mentions d’information à destination de ses salariés et de ses clients. Les salariés de la société sont à présent individuellement informés de l’enregistrement des appels téléphoniques et la société a par ailleurs complété la politique de confidentialité affichée sur son site web.
• Renforcer les mots de passe associés aux comptes des clients. La société impose des mots de passe qui doivent désormais être composés d’au moins 8 caractères, dont au moins une minuscule, une majuscule, un chiffre ou un caractère spécial. De plus, une mesure de temporisation d’accès aux comptes en cas de tentatives de connexion infructueuses a été mise en place.

Les réponses apportées par la société SPARTOO permettent de considérer qu’elle a satisfait à l’injonction prononcée par la formation restreinte. Cette dernière a en conséquence décidé de clore la procédure le 31 mars 2022.