La Commission française a accompagné gratuitement une société à agréger les données des clients de nombreuses enseignes françaises, au détriment des Français qu’elle est censée protéger.

La CNIL a pour missions de s’assurer du bon respect des lois et réglementations relatives à la protection des données par les organismes et d’informer, ou conseiller, ces organismes. Si les mesures punitives et coercitives de la CNIL sont relativement connues, particulièrement grâce aux sanctions publiques à l’encontre des acteurs américains, ses travaux de conseil ou d’accompagnement le sont beaucoup moins. Ils sont pourtant très importants, car ils permettent à certains organismes privilégiés de bénéficier de ressources publiques et d’obtenir une certaine immunité.

La CNIL ne communique pas publiquement la liste des heureux élus, ni la nature des activités réalisées. (...)

’une société dénommée Valiuz avait notamment bénéficié des ressources et des compétences pointues de la Commission. Cette société, inconnue du grand public, connaît très bien la population française et se vante même de « connaître probablement 100 % des foyers français » grâce à sa capacité d’agrégation des données de toutes les sociétés de son principal actionnaire, la famille Mulliez, une (très) riche famille française qui possède de nombreuses enseignes en France, notamment Auchan, Décathlon, Leroy Merlin, Boulanger, Kiabi, Electro Dépôt, Norauto, Saint Maclou, Alinea, Flunch, Pimkie, Jules, Bizzbee, Top Office et bien d’autres.

L’accompagnement d’une telle entreprise pendant des mois par la CNIL interroge. (...)

l’enquête menée a permis de découvrir que la CNIL œuvre de manière douteuse, voire illégale, pour garder le secret sur ses activités et ne pas justifier ses choix, au détriment des Français qu’elle est censée protéger.

La découverte hasardeuse des travaux de la CNIL au bénéfice de la société Valiuz (...)

Une plainte[2] a alors été déposée à la CNIL pour que la société Boulanger fournisse une information claire et compréhensible, pour que la société obtienne le consentement préalable de ses clients avant de traiter leurs données à caractère personnel à des fins de publicité ciblée et pour que la société informe ses clients que leurs données ont été divulguées à des sociétés tierces sans leur consentement préalable.

Cette plainte a été clôturée par la CNIL trois mois plus tard, en avril 2022. (...)

L’accompagnement offert par la CNIL aux organismes

Dans sa réponse, la CNIL a également précisé que les modalités de cet « accompagnement » offert à la société Valiuz sont expliquées dans une « charte d’accompagnement des professionnels » disponible en ligne (...)

En résumé, il y a trois types d’accompagnement : un accompagnement général, un accompagnement sectoriel et un accompagnement individuel. (...)

L’accès (très compliqué) aux travaux de la CNIL (...)

Bref, la CNIL n’a manifestement toujours pas tout dit et ne souhaite pas le faire, puis les quelques documents transmis sont peu exploitables, ce qui est inacceptable. Le tribunal administratif de Paris a donc été saisi le 11 mars 2024 (...)

Le CNIL doit rendre des comptes

Cette histoire a montré que la CNIL recourt à des manœuvres douteuses, qui sont contraires à ses engagements et contraires à ses missions : ne pas instruire une plainte sous prétexte que la société concernée est accompagnée, communiquer de fausses informations, omettre volontairement de communiquer certaines informations et transmettre des documents de manière éparse, sans respecter les délais légaux.

La difficulté d’accéder aux documents détenus par la CNIL est également incompatible avec son statut d’autorité administrative indépendante (...)

La CNIL ne devrait pas accompagner Valiuz, mais la sanctionner

Au final, l’accompagnement de la CNIL auprès de Valiuz a-t-il permis d’apporter une meilleure information aux Français sur la manière dont leurs données sont agrégées en masse puis utilisées, ou a-t-il permis à la société de traiter les données des Français en respectant mieux ses obligations en matière de protection des données  ? On peut en douter.

Postérieurement au démarrage de cet accompagnement, de nombreux sites de l’« alliance » Valiuz, à l’instar du site de Boulanger, apportaient encore une information contestable aux internautes. Les modalités de dépôt des cookies de ces sites, qui utilisaient notamment les cookies de Valiuz, étaient aussi condamnables. La CNIL s’est toutefois contentée de « rappeler leurs obligations légales » aux sociétés concernées et s’est, pour le moment, abstenue d’instruire les autres plaintes concernant Valiuz.

Puis, quand on voit que dans la demande d’accompagnement « renforcé » d’avril 2023 de Valiuz, la société indique que l’une des « principales problématiques » à laquelle la société est confrontée est la « base légale des traitements », c’est-à-dire le fondement légal qui justifie l’existence même des traitements, il y a de quoi être inquiet. (...)

La société Valiuz cherche donc encore toujours une façon de justifier ses traitements « de profilage à grande échelle » à des fins de « prospection commerciale », et cherche même a connaître les « limites dans lesquelles la base légale de l’intérêt légitime peut être utilisée », c’est-à-dire que la société cherche à savoir dans quelle mesure elle peut se passer du consentement des personnes et justifier ses traitements intrusifs de données par ses propres intérêts, probablement commerciaux.

Pour conclure, il est peut-être bon de rappeler que la CNIL devrait agir dans l’intérêt général, c’est-à-dire communiquer les documents lorsqu’on lui demande, traiter correctement les plaintes qu’elle reçoit, bannir les profilages de masse de la population française et enfin, s’abstenir d’aider des entreprises réalisant des traitements instrusifs, particulièrement lorsqu’ils bénéficient à un seul et même actionnaire, dont la fortune est l’une des plus grandes du pays.