L’APD française a infligé une amende de 800 000 euros à DISCORD INC.. DISCORD propose un service de communication en ligne par lequel les utilisateurs peuvent chatter ou passer des appels vidéo. Au cours de son enquête, l’APD a constaté que l’entreprise n’avait pas établi et respecté une période de conservation des données adaptée à la finalité du traitement. Par exemple, il y avait plus de deux millions de comptes dans la base de données DISCORD d’utilisateurs français qui n’avaient pas utilisé leur compte depuis plus de trois ans et environ 50 000 comptes qui n’avaient pas été utilisés depuis plus de cinq ans. En outre, l’APD a noté que l’entreprise ne disposait pas d’informations complètes concernant les périodes de conservation. En outre, l’APD a constaté que l’entreprise n’avait pas assuré la protection des données par défaut, contrairement à l’obligation prévue à l’article 25 (2) du RGPD. Ainsi, il était possible que les données des utilisateurs soient transmises même après la fermeture de l’application de communication. L’APD a également constaté que l’entreprise n’avait pas suffisamment assuré la sécurité des données personnelles en acceptant des mots de passe non sécurisés de la part des utilisateurs. L’entreprise acceptait des mots de passe d’utilisateur composés de six caractères contenant uniquement des lettres et des chiffres. Finalement, l’APD a constaté que l’entreprise n’avait pas procédé à une analyse d’impact relative à la protection des données.