La CNIL a sanctionné Intersport d'une amende de 3,5 millions d'euros pour transmission de données clients sans consentement, mais sans révéler publiquement le nom de l'enseigne. Cette anonymisation soulève des questions d'équité, alors que Free et France Travail ont été nommément désignés dans leurs sanctions respectives.Ce 29 janvier, la Commission nationale de l'informatique et des libertés (CNIL) a dévoilé une amende de 5 millions d’euros infligée à France Travail chargé de l’accompagnement des personnes sans emploi. L’autorité administrative a clairement énoncé les manquements de sécurité qu’elle reproche à l’agence. Deux semaines auparavant, l’opérateur Free était épinglé par la CNIL, avec une amende de 42 millions d’euros pour des carences techniques qui avaient permis aux hackers d’accéder aux bases de données clients.
Le 22 janvier, la CNIL encore inflige une amende de 3,5 millions d’euros à une société, pour « avoir transmis les données de membres de son programme de fidélité à un réseau social à des fins de ciblage publicitaire, sans consentement valable ». Mais cette fois le nom du condamné reste anonyme. Quelques minutes après la publication du communiqué ont suffi pour que les experts cyber comprennent qu’il s’agissait de l’enseigne Intersport. Cette dernière a confirmé au Figaro qu’elle est bien « la société » sanctionnée par la CNIL, Indiquant au journal qu’elle avait contesté la « publicité » de la décision, estimant que cette dernière risquait de « fragiliser son équilibre commercial ainsi que la confiance de ses adhérents ».
Comment expliquer alors qu’Intersport ait droit à un traitement de faveur contrairement à Free ou France Travail.
La CNIL décide des « modalités » après une sanction
Contacté par La Tribune, la CNIL s’est contenté de répondre que la loi Informatique et libertés donne le pouvoir à la formation restreinte à l'institution de décider, ou non, de rendre publique ses sanctions. « Ce choix est fait au cas par cas, en fonction des éléments du dossier et donne lieu à une motivation à part. Enfin, la publication de la décision étant une sanction complémentaire, la formation restreinte a le pouvoir de décider de ses modalités, et notamment de la nécessité d’identifier nommément, ou non, l’organisme sanctionné ».