AgentPublic/cnil huggingface dataset:
32. En effet, la notion de responsable de traitement doit faire l’objet d’une appréciation concrète prenant en compte l’ensemble des éléments permettant d’attribuer cette qualité à une entité. En ce sens, à titre d’éclairage, dans son avis 1/2010 du 16 février 2010 sur la notion de responsable de traitement et de sous-traitant, le groupe de travail de l’article 29 (G29) énonce que la notion de responsable de traitement est une notion fonctionnelle, visant à attribuer les responsabilités aux personnes qui exercent une influence de fait, et [qu’]elle s’appuie donc sur une analyse factuelle plutôt que formelle . En outre, cet avis précise qu’il convient, lorsqu’il s’agit d’évaluer la détermination des finalités et des moyens en vue d’attribuer le rôle de responsable de traitement, d’adopter une approche pragmatique mettant davantage l’accent sur le pouvoir discrétionnaire de déterminer les finalités et sur la latitude laissée pour prendre des décisions . Cette approche factuelle est réaffirmée par le Comité européen de la protection des données ( CEPD ) dans ses lignes directrices 07/2020 sur la notion de responsable de traitement et de sous-traitant, soumises à la concertation publique le 2 septembre 2020, dont il ressort que la qualification de responsable de traitement doit être établie sur la base d'une évaluation du contexte factuel entourant le traitement. Toutes les circonstances factuelles pertinentes doivent être prises en compte pour parvenir à une conclusion sur le
point de savoir si une entité particulière exerce une influence déterminante sur le traitement des données personnelles (§ 23).
33. À titre liminaire, la formation restreinte relève que dans son courrier du 27 décembre 2019, la société a explicitement indiqué à la délégation de contrôle de la CNIL que c’est elle qui est le responsable des traitements dans la réalisation des traitements relatifs à la prospection commerciale réalisée auprès des personnes, dont les données figurant dans sa base . La formation restreinte estime que plusieurs éléments confirment cette qualification.
34. En premier lieu, s’agissant de la détermination des finalités, la formation restreinte relève que la mise à disposition de sa base de prospects à des fins de prospection commerciale est au cœur de l’activité de la société. Ainsi, la société s’engage contractuellement vis-à-vis des annonceurs à disposer d’adresses électroniques d’internautes ayant donné leur consentement à recevoir des courriels publicitaires de la part de personnes tierces et est rémunérée pour ce faire par ses partenaires.
35. La formation restreinte note en outre que la société est propriétaire de la base de données utilisée dans le cadre des campagnes de prospection, les annonceurs et agences web ne fournissant pas les données à caractère personnel des prospects à contacter et n’ayant n’ont pas accès aux données à caractère personnel des prospects.
36. En second lieu, la formation restreinte considère que la société détermine les moyens essentiels du traitement en ce qu’elle définit les données personnelles qui figurent dans sa base de prospects, les durées pendant lesquelles ces données y sont conservées et les éventuelles mises à jour devant être opérées.
37. En conséquence, et sans qu’en l’espèce il soit nécessaire de se prononcer sur une éventuelle responsabilité conjointe des partenaires annonceurs de la société […], la formation restreinte retient que cette dernière a défini les finalités et les moyens du traitement lié à la gestion et la mise à disposition de sa base de données personnelles à des fins de prospection commerciale par courrier électronique.
C. Sur la qualification des faits au regard du règlement général sur la protection des données et du code des postes et des communications électroniques
1. Sur le manquement à l’obligation de recueillir le consentement de la personne concernée par une opération de prospection directe au moyen d’un courrier électronique
38. L’article L. 34-5 alinéa 1 du CPCE précise que Est interdite la prospection directe au moyen de système automatisé de communications électroniques au sens du 6° de l'article L. 32, d'un télécopieur ou de courriers électroniques utilisant les coordonnées d'une personne physique, abonné ou utilisateur, qui n'a pas exprimé préalablement son consentement à recevoir des prospections directes par ce moyen. Pour l'application du présent article, on entend par consentement toute manifestation de volonté libre, spécifique et informée par laquelle une personne accepte que des données à caractère personnel la concernant soient utilisées à fin de prospection directe . Ainsi, le consentement des personnes doit être recueilli avant toute prospection par voie d’un courrier électronique.
39. La rapporteure relève dans son rapport de sanction que la société ne dispose d’aucun élément permettant de matérialiser le consentement des personnes concernées à recevoir de la prospection autre que deux factures établies en 2014 et 2015 par la société […], mentionnant un opt-in partenaire pour des fichiers base ouvreurs 17 millions de mails et un double opt-in partenaire pour des fichiers base ouvreurs 3 millions de mails , ce qui l’amène à considérer que les éléments constitutifs d’un manquement à l’article L. 34-5 du CPCE sont réunis.
40. Lors de la séance de la formation restreinte, la société a fait valoir que, si elle ne dispose pas d’éléments matérialisant le recueil effectif du consentement des prospects, elle a rémunéré la société […] auprès de laquelle elle a acquis les bases de données de prospects précisément pour que ces dernières contiennent des données personnelles de personnes ayant consenti à l’envoi de prospection commerciale.
41. La formation restreinte relève que la société n’est en mesure de prouver ni qu’elle-même recueille de manière effective le consentement des personnes prospectées ni que la société […] aurait valablement recueilli le consentement desdits prospects préalablement à la cession de sa base à la société en 2014 et 2015, étant précisé que cette société a été liquidée en 2017.
42. En ce sens, la formation restreinte observe que, lors de l’audition du 31 octobre 2019, le conseil de la société a indiqué qu’à sa connaissance hors la mention indiquant opt-in figurant sur les factures, la société […] ne dispose pas d’autres éléments matériels relatifs aux conditions de recueil du consentement .
43. Or, la formation restreinte considère que de telles mentions ne sont pas suffisantes pour attester du recueil effectif du consentement des personnes concernées aux fins de prospection commerciale par courriel électronique, que ce soit par la société elle-même ou par la société […] à des fins de transmission à la société […] pour la réalisation d’une telle finalité.
44. La formation restreinte souligne que l’envoi de prospection commerciale par voie électronique est au cœur de l’activité de la société, qui s’engage vis-à-vis de ses cocontractants à disposer d’une base d’adresses électroniques de personnes ayant donné leur consentement pour recevoir de la prospection commerciale de la part de partenaires tiers, par courrier électronique, dans le respect de la réglementation relative à la protection des données à caractère personnel.
45. Pour autant, la formation restreinte relève que cet engagement à l’égard des partenaires ne repose sur aucun élément matérialisant l’existence du consentement des personnes concernées et permettant de le démontrer, par exemple par des vérifications qui auraient été opérées préalablement auprès de la société […] sur ce point ou en recueillant directement un tel consentement et en le documentant.
46. L’absence d’éléments, hormis les factures produites par la société, venant attester de l’existence effective d’un consentement valable des personnes concernées, rapportée au nombre de signalements reçus par l’association SIGNAL SPAM concernant la société, à savoir 163 126 signalements sur la période du 1er janvier 2019 au 11 juin 2019, ce qui en fait, sur cette période, l’émetteur de courriers électroniques le plus signalé par les internautes français auprès de SIGNAL SPAM, amène la formation restreinte à considérer que les éléments constitutifs d’un manquement à l’article L. 34-5 du CPCE sont réunis.
2. Sur le manquement à l’obligation de veiller à l’adéquation, à la pertinence et au caractère non excessif des données à caractère personnel traitées par la société
47. Aux termes de l’article 5, paragraphe1, c) du RGPD les données à caractère personnel doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (minimisation des données) .
48. La rapporteure relève dans son rapport de sanction que la délégation de contrôle de la CNIL a relevé que les champs code postal et numéro de téléphone étaient renseignés sur une fiche de contact d’un prospect alors qu’il ressort du procès-verbal de l’audition que ces informations ne sont pas utilisées par la société et qu’elles figuraient sur les fiches probablement déjà au moment du rachat des listes de prospects . Elle reproche ainsi à la société de méconnaitre ses obligations résultant de l’article précité.
49. Lors de la séance de la formation restreinte, la société a indiqué qu’elle utilise le code postal pour adresser certains messages promotionnels uniquement aux personnes habitant dans des départements ciblés, notamment s’agissant de l’envoi de messages promotionnels dans le secteur immobilier.
50. La formation restreinte prend note de ce que le code postal est une donnée pertinente pour l’activité de la société et qu’elle est exploitée par cette dernière à ce titre. Elle retient toutefois que le numéro de téléphone n’est pas exploité par la société, qui adresse uniquement de la prospection par courriel, ce que la société ne conteste pas. La formation restreinte considère dès lors que le numéro de téléphone n’aurait pas dû être collecté et traité par la société dans le cadre de l’achat des bases de données en 2014 et 2015 et qu’il aurait dû, en tout état de cause, être immédiatement supprimé à réception desdites bases.
51. Dans ces conditions, la formation restreinte considère que la société a failli à l’obligation prévue à l’article 5, paragraphe 1, c) du RGPD de ne traiter que des données à caractère personnel adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées.
3. Sur le manquement à l’obligation de traiter les données à caractère personnel pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées
52. L’article 5, paragraphe 1, e) du RGPD prévoit que les données à caractère personnel doivent être conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées ; les données à caractère personnel peuvent être conservées pour des durées plus longues dans la mesure où elles seront traitées exclusivement à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques conformément à l'article 89, paragraphe 1, pour autant que soient mises en œuvre les mesures techniques et organisationnelles appropriées requises par le présent règlement afin de garantir les droits et libertés de la personne concernée (limitation de la conservation) .
53. Il ressort des constatations de la délégation de la CNIL que la société conserve plus de trois ans les coordonnées d’environ 5 millions de prospects ayant uniquement ouvert les courriels de prospection adressés par la société, sans autre action de leur part, notamment sans avoir cliqué sur un des liens présents dans lesdits courriels de prospection.
54. La rapporteure considère que l’action permettant de matérialiser le point de départ fixé par la société pour calculer le délai de conservation des données des prospects - à savoir trois ans à compter du dernier contact émanant du prospect - ne saurait être la simple ouverture d’un courriel dans la mesure où l’ouverture d’un courriel ne reflète pas nécessairement l’intérêt du prospect pour les produits ou services de l’expéditeur du message, le prospect pouvant avoir ouvert le courriel par erreur ou de manière automatique, notamment en raison du fonctionnement de son logiciel de messagerie (par exemple, lors de la suppression d’un autre message). Dès lors, la rapporteure considère que la société méconnaît ses obligations au regard de l’article 5, paragraphe 1, e) du RGPD.
55. Lors de la séance de la formation restreinte, la société a indiqué que, selon elle, l’ouverture d’un courriel matérialise l’intérêt du prospect pour le message de l’expéditeur.
56. En l’espèce, la formation restreinte retient que la société n’est pas fondée à considérer que le point de départ de la durée de conservation de trois ans pourrait consister en la simple ouverture d’un courrier électronique. En effet, la société doit s’assurer d’un intérêt effectif des personnes concernées pour les messages de prospection commerciale qu’elle envoie avant de pouvoir considérer qu’il a bien eu un contact avec le prospect, de nature à rallonger la durée de conservation de ses données à caractère personnel. À cet égard, la simple ouverture d’un courriel, en ce qu’elle peut être réalisée par erreur ou de manière automatique, ne saurait être suffisante pour matérialiser cet intérêt effectif, a fortiori, dans la mesure où la société n’a pas elle-même collecté les données personnelles des personnes concernées, mais les a acquises auprès de la société […], ce qui implique un engagement moins fort des personnes concernées envers la société que lors d’une collecte directe.
57. A titre d’éclairage, la formation restreinte rappelle que la norme simplifiée n° NS-048 concernant les traitements automatisés de données à caractère personnel relatifs à la gestion de clients et de prospects, publiée par la CNIL en 2005, ainsi que le projet de référentiel sur les traitements de gestion commerciale actualisant la n° NS-048, soumis pour consultation publique le 29 novembre 2018, recommandent que les données à caractère personnel relatives à un prospect non client soient conservées pendant un délai de trois ans à compter du dernier contact émanant du prospect, matérialisé par exemple par un clic sur un lien hypertexte contenu dans un courrier électronique.
58. Au vu de l’ensemble de ces éléments, la formation restreinte considère que la prise en compte par la société de l’ouverture d’un de ses courriels par les prospects afin de déterminer le dernier contact de ceux-ci la conduit à traiter des données à caractère personnel pendant une durée excédant celle nécessaire au regard des finalités pour lesquelles elles sont traitées. La formation restreinte considère que la société a méconnu ainsi ses obligations au regard de l’article 5, paragraphe 1, e) du RGPD.
4. Sur le manquement à l’obligation d’information des personnes concernées
59. Lorsque les données à caractère personnel n'ont pas été collectées auprès de la personne concernée, l’article 14 du RGPD impose que le responsable de traitement fournisse à la personne concernée plusieurs informations, portant notamment sur l’identité et les coordonnées du responsable du traitement, les finalités du traitement, sa base juridique, les catégories de données à caractère personnel concernées, le cas échéant, les destinataires ou les catégories de destinataires des données à caractère personnel, la durée de conservation des données à caractère personnel, l'existence des différents droits dont bénéficient les personnes, le droit d’introduire une réclamation auprès d'une autorité de contrôle et la source d'où proviennent les données à caractère personnel. Ces informations doivent être fournies au plus tard au moment de la première communication avec la personne, en application de l’article 14, paragraphe 3, b) du RGPD.
60. Il ressort des constations de la délégation de la CNIL que l’information des prospects est assurée par le biais d’une mention type apposée en bas des courriers électroniques qui sont adressés aux prospects, rédigée ainsi : Vous recevez ce message parce que vous êtes inscrits sur la base [par exemple, la-bonne-table ou ciel-info] qui relaye l’offre ci-dessus. Conformément à la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et libertés, vous bénéficiez d’un droit d’opposition, d’accès, de modification, de rectification et de suppression, de vos données à caractère personnel. Ces informations sont déclarées à la Commission Nationale de l’Informatique et des Libertés (CNIL) et plus bas, en plus petits caractères, Pour vous désinscrire de nos bases, cliquez ici .
61. La rapporteure reproche à la société de ne pas fournir une information complète aux personnes concernées, la mention précitée ne comportant pas l’ensemble des éléments prévus par l’article 14 du RGPD. La rapporteure note en outre qu’aucun lien hypertexte ne renvoie vers des mentions d’information plus complètes que celles reproduites ci-dessus.
62. La société ne produit pas d’éléments en défense sur ce point.
63. La formation restreinte relève que la mention d’information présente en bas des courriels de prospection adressés aux personnes dont les données à caractère personnel ont été collectées de manière indirecte n’est pas conforme à l’article 14 du RGPD en ce qu’elle ne précise pas l'identité du responsable de traitement, sa base juridique, les catégories de données personnelles concernées, la durée de conservation des données, l’ensemble des droits des personnes (en particulier le droit à la portabilité et le droit à la limitation du traitement), le droit d'introduire une réclamation auprès d'une autorité de contrôle et la source d’où proviennent les données.
64. La formation restreinte observe en outre qu’aucune modalité d’information complémentaire n’est mise en place par la société pour fournir une information complète aux personnes concernées, par le biais par exemple d’un lien figurant dans les courriels de prospection renvoyant vers une page dédiée contenant la totalité des informations prévues par le RGPD ou ne serait-ce que celles manquantes par rapport à celles figurant dans le courriel de prospection.
65. Or, la formation restreinte rappelle que la société doit fournir aux personnes une information complète, que ce soit dès ce premier niveau d’information donné dans les courriels ou en leur permettant d’accéder aisément à des informations complémentaires, au sein d’un second niveau d’information.
66. Au regard de l’ensemble de ces éléments, la formation restreinte retient que l’information fournie aux personnes concernées par la société n’est pas complète et que la société a méconnu ses obligations au titre de l’article 14 du RGPD.
5. Sur le manquement relatif au droit d’opposition des personnes concernées
67. L’article 21, paragraphe 2, du RGPD dispose : Lorsque les données à caractère personnel sont traitées à des fins de prospection, la personne concernée a le droit de s'opposer à tout moment au traitement des données à caractère personnel la concernant à de telles fins de prospection, y compris au profilage dans la mesure où il est lié à une telle prospection .
68. La délégation de contrôle a constaté qu’un lien permettant de s'opposer à la réception de nouveaux courriels de prospection est présent en bas des courriels envoyés par la société. Toutefois, la rapporteure note dans son rapport de sanction que la société effectue son activité de prospection commerciale par silos , les données personnelles des prospects contenues dans la base de données étant répliquées au sein de neuf compartiments de données différents, dénommés comptes (par exemple […]13 ou […]20 ), et chaque compte étant associé à deux noms de domaines différents (par exemple […]). Ce découpage en noms de domaine permet de répartir les envois en les adressant sur différents domaines, à des listes de prospects de taille plus réduite, limitant ainsi le risque de blocage de l’émetteur du message par les fournisseurs d’accès à Internet des personnes visées par la campagne de prospection.
69. La rapporteure indique que lorsqu'une personne clique sur un lien de désabonnement pour exercer son droit d’opposition, celle-ci est désabonnée du compte utilisé pour l'envoi de la campagne de prospection concernée mais pas des autres comptes utilisés par la société pour d'autres campagnes. Par exemple, une personne s'étant désabonnée à partir d'un courriel émanant d'un domaine rattaché au compte […]13 pourra continuer à recevoir de la prospection commerciale émanant de domaines rattachés au compte […]20 . Le droit d’opposition des personnes n’est ainsi pas pris en compte de manière effective.
70. En outre la rapporteure relève que la société a indiqué à la délégation de contrôle que, pour être désinscrite de l’ensemble des comptes utilisés pour l’envoi de courriels de prospection par la société, la personne concernée doit soit formuler cette demande en répondant par retour de message aux courriels de prospection reçus, soit remplir un formulaire en ligne disponible à partir du domaine […]. La rapporteure reproche à la société de ne pas informer les personnes concernées des deux autres canaux permettant de se désinscrire de l’ensemble des comptes et de ne les inviter à aucun moment à exercer leur droit d’opposition autrement qu’en cliquant sur le lien, de sorte que le droit d’opposition des prospects n’est pas effectivement assuré par la société.
71. La société ne produit pas d’éléments en défense sur ce point.
72. La formation restreinte relève que la gestion des campagnes de prospection par silos par la société rend ineffective l'opposition des personnes au traitement de leurs données par cette dernière à des fins de prospection par courrier électronique lorsque ce droit est exercé au moyen du lien de désinscription figurant en bas des messages électroniques. En effet, lorsqu'une personne clique sur un lien de désabonnement pour exercer son droit d’opposition, celle-ci est désabonnée seulement du compte utilisé pour l'envoi de la campagne de prospection concernée mais pas des autres comptes utilisés par la société pour d'autres campagnes.
73. Au demeurant, la formation restreinte rappelle que l’article 12, paragraphe 2, du RGPD impose au responsable de traitement de faciliter l’exercice des droits conférés à la personne concernée au titre des articles 15 à 22 du RGPD, ce qu’en tout état de cause la société n’a pas fait, en n’offrant pas aux personnes concernées de modalité d’exercice des droit satisfaisante et en ne les informant pas de l’existence de canaux permettant de se désinscrire de l’ensemble des comptes et en les invitant à les utiliser pour exercer leur droit d’opposition.
74. En conséquence, la formation retreinte retient que les faits précités constituent un manquement à l’article 21, paragraphe 2, du RGPD, dès lors que la société ne permet pas de s’opposer de manière simple et effective au traitement de ses données personnelles par la société à des fins de prospection commerciale par courrier électronique.
6. Sur le manquement à l’obligation d’encadrement contractuel du sous-traitant
75. L’article 28 du RGPD prévoit que le traitement effectué par un sous-traitant pour le compte d’un responsable de traitement est régi par un contrat. Ce dernier doit définir les conditions dans lesquelles le sous-traitant s’engage à effectuer pour le compte du responsable de traitement les opérations de traitement, ainsi que des informations relatives aux obligations et droits du responsable du traitement et du sous-traitant.
76. En l’espèce, la société est une agence de marketing qui est chargée, pour le compte d’annonceurs, de l’envoi de leurs campagnes publicitaires à des prospects par courriel électronique. Pour ce faire, la société fait appel à un sous-traitant, auquel la société a confié la diffusion technique des campagnes de prospection de ses clients, l’hébergement de sa base de données et le traitement des campagnes publicitaires des annonceurs, ce qui recouvre notamment le traitement des demandes de désinscription des personnes concernées ne souhaitant plus recevoir de messages de prospection.