AgentPublic/cnil huggingface dataset:
b) l'existence du droit de demander au responsable du traitement l'accès aux données à caractère personnel, la rectification ou l'effacement de celles-ci, ou une limitation du traitement relatif à la personne concernée, ou du droit de s'opposer au traitement et du droit à la portabilité des données ;
c) lorsque le traitement est fondé sur l'article 6, paragraphe 1, point a), ou sur l'article 9, paragraphe 2, point a), l'existence du droit de retirer son consentement à tout moment, sans porter atteinte à la licéité du traitement fondé sur le consentement effectué avant le retrait de celui-ci ;
d) le droit d'introduire une réclamation auprès d'une autorité de contrôle ;
e) des informations sur la question de savoir si l'exigence de fourniture de données à caractère personnel a un caractère réglementaire ou contractuel ou si elle conditionne la conclusion d'un contrat et si la personne concernée est tenue de fournir les données à caractère personnel, ainsi que sur les conséquences éventuelles de la non-fourniture de ces données ;
f) l'existence d'une prise de décision automatisée, y compris un profilage, visée à l'article 22, paragraphes 1 et 4, et, au moins en pareils cas, des informations utiles concernant la logique sous-jacente, ainsi que l'importance et les conséquences prévues de ce traitement pour la personne concernée. "
38. Concernant les informations à fournir lorsque les données personnelles n’ont pas été collectées auprès des personnes concernées, l’article 14 dispose :
" 1. Lorsque les données à caractère personnel n'ont pas été collectées auprès de la personne concernée, le responsable du traitement fournit à celle-ci toutes les informations suivantes :
a) l'identité et les coordonnées du responsable du traitement et, le cas échéant, du représentant du responsable du traitement ;
b) le cas échéant, les coordonnées du délégué à la protection des données ;
c) les finalités du traitement auquel sont destinées les données à caractère personnel ainsi que la base juridique du traitement ;
d) les catégories de données à caractère personnel concernées ;
e) le cas échéant, les destinataires ou les catégories de destinataires des données à caractère personnel ;
f) le cas échéant, le fait que le responsable du traitement a l'intention d'effectuer un transfert de données à caractère personnel à un destinataire dans un pays tiers ou une organisation internationale, et l'existence ou l'absence d'une décision d'adéquation rendue par la Commission ou, dans le cas des transferts visés à l'article 46 ou 47, ou à l'article 49, paragraphe 1, deuxième alinéa, la référence aux garanties appropriées ou adaptées et les moyens d'en obtenir une copie ou l'endroit où elles ont été mises à disposition ;
2. En plus des informations visées au paragraphe 1, le responsable du traitement fournit à la personne concernée les informations suivantes nécessaires pour garantir un traitement équitable et transparent à l'égard de la personne concernée :
a) la durée pendant laquelle les données à caractère personnel seront conservées ou, lorsque ce n'est pas possible, les critères utilisés pour déterminer cette durée ;
b) lorsque le traitement est fondé sur l'article 6, paragraphe 1, point f), les intérêts légitimes poursuivis par le responsable du traitement ou par un tiers ;
c) l'existence du droit de demander au responsable du traitement l'accès aux données à caractère personnel, la rectification ou l'effacement de celles-ci, ou une limitation du traitement relatif à la personne concernée, ainsi que du droit de s'opposer au traitement et du droit à la portabilité des données ;
d) lorsque le traitement est fondé sur l'article 6, paragraphe 1, point a), ou sur l'article 9, paragraphe 2, point a), l'existence du droit de retirer le consentement à tout moment, sans porter atteinte à la licéité du traitement fondé sur le consentement effectué avant le retrait de celui-ci ;
e) le droit d'introduire une réclamation auprès d'une autorité de contrôle ;
f) la source d'où proviennent les données à caractère personnel et, le cas échéant, une mention indiquant qu'elles sont issues ou non de sources accessibles au public ;
g) l'existence d'une prise de décision automatisée, y compris un profilage, visée à l'article 22, paragraphes 1 et 4, et, au moins en pareils cas, des informations utiles concernant la logique sous-jacente, ainsi que l'importance et les conséquences prévues de ce traitement pour la personne concernée.
3. Le responsable du traitement fournit les informations visées aux paragraphes 1 et 2 :
a) dans un délai raisonnable après avoir obtenu les données à caractère personnel, mais ne dépassant pas un mois, eu égard aux circonstances particulières dans lesquelles les données à caractère personnel sont traitées ;
b) si les données à caractère personnel doivent être utilisées aux fins de la communication avec la personne concernée, au plus tard au moment de la première communication à ladite personne ; ou
c) s'il est envisagé de communiquer les informations à un autre destinataire, au plus tard lorsque les données à caractère personnel sont communiquées pour la première fois. "
39. Des lignes directrices sur la transparence au sens du règlement (UE) 2016/679 ont été adoptées par le groupe de travail " Article 29 " le 29 novembre 2017 (version révisée et adoptée le 11 avril 2018, WP260 rev.01). Elles précisent, page 22, que si une information à plusieurs niveaux est possible pour plus de clarté, " le G29 recommande que le premier niveau […] inclue les détails de la finalité du traitement, l’identité du responsable du traitement et une description des droits des personnes concernées ", avant de préconiser que " ces informations devraient être directement portées à l’attention de la personne concernée au moment de la collecte des données à caractère personnel ".
40. La formation restreinte observe qu’il ressort des enregistrements téléphoniques communiqués par la société que les personnes qui font l’objet de prospection téléphonique ne sont soit destinataires d’aucune information relative à l’enregistrement de l’appel soit sont simplement informées de l’enregistrement de la conversation sans qu’aucune autre information ne leur soit communiquée quant au traitement de leurs données à caractère personnel, telle que la finalité du traitement, l’identité du responsable de traitement ou les droits dont elles disposent.
41. La formation restreinte relève que la société n’affirme ni ne démontre avoir mis en place, durant le délai octroyé par la mise en demeure, un mécanisme d’information conforme aux dispositions précitées, aucune précision ne figurant sur ce point dans la réponse sommaire apportée à la mise en demeure le 15 février 2019. Il en va de même en ce qui concerne l’information délivrée aux personnes parrainées dont les données personnelles sont indirectement collectées.
42. La formation restreinte considère donc, au vu de ces éléments, qu’un manquement aux articles 12, 13 et 14 du RGPD était constitué à l’expiration du délai imparti par la mise en demeure.
43. La formation restreinte prend acte de ce que la société indique communiquer dorénavant une information complète prenant la forme d’un courriel à toute personne faisant l’objet de prospection téléphonique, ainsi qu’aux personnes dont les données ne sont pas collectées directement.
44. La formation restreinte relève néanmoins que, si la société affirme mettre des mentions d’information complètes à disposition des personnes faisant l’objet de prospection téléphonique et celles dont les données sont collectées indirectement, elle n’a pas justifié de l’information qu’elle délivre, par exemple en produisant un modèle du courriel envoyé. En outre, s’agissant des personnes dont les données sont collectées directement, la formation restreinte relève que la société indique proposer une information prenant la forme de l’envoi d’un courriel postérieurement à l’échange téléphonique. La formation restreinte rappelle que l’article 13 du RGPD impose qu’une information soit fournie au moment de la collecte des données personnelles. En effet, au regard de ce texte, il est nécessaire que la personne soit mise en mesure de prendre connaissance de l’information relative au traitement de ses données personnelles au moment où ses données sont collectées, et non uniquement ultérieurement. Ainsi, une information, même sommaire, doit lui être communiquée par l’intermédiaire du service vocal ou du téléopérateur, en lui offrant la possibilité d’obtenir communication d’une information complète soit grâce à l’activation d’une touche sur son clavier téléphonique, soit par l’envoi d’un courriel par exemple.
45. Ces éléments ne sont donc pas de nature à remettre en question la caractérisation du manquement évoqué à la clôture de l’instruction.
4. Sur le manquement à l’obligation de respecter le droit d’opposition
46. L’article 21 du RGPD prévoit, en son deuxième paragraphe, que " lorsque les données à caractère personnel sont traitées à des fins de prospection, la personne concernée a le droit de s'opposer à tout moment au traitement des données à caractère personnel la concernant à de telles fins de prospection, y compris au profilage dans la mesure où il est lié à une telle prospection ".
47. En outre, l’article 12 du RGPD précité dispose, dans son deuxième paragraphe, que " le responsable du traitement facilite l'exercice des droits conférés à la personne concernée au titre des articles 15 à 22 ".
48. La formation restreinte considère donc, aux termes de ces deux articles combinés, qu’il revenait à la société de mettre en place un mécanisme permettant une prise en compte effective du droit d’opposition exprimé par les personnes faisant l’objet de prospection téléphonique. Elle devait, à ce titre, être en mesure de s’assurer que l’opposition exprimée par les intéressés était respectée et que les personnes ayant faire part de leur opposition ne reçoivent plus d’appels de prospection de la part de ses sous-traitants.
49. La formation restreinte relève qu’il ressort des déclarations des salariés de la société, recueillies à l’occasion du contrôle réalisé le 20 mars 2018, que n’avait été mise en place aucune procédure permettant que l’opposition exprimée auprès de la société soit communiquée à ses sous-traitants ni que l’opposition exprimée directement auprès des téléopérateurs des centres d’appels ne soit centralisée au niveau du siège de la société et répercutée auprès de la société et de l’ensemble des sous-traitants.
50. Dès lors, il apparaît que l’opposition exprimée par les personnes démarchées restait vaine : lorsqu’elle était exprimée auprès du siège de l’entreprise, les sous-traitants n’en étaient pas informés et poursuivaient les opérations de prospection ; lorsqu’elle était exprimée directement auprès d’un sous-traitant, ni le siège ni les trente-cinq autres centres d’appels travaillant alors pour la société n’en étaient informés, et la prospection perdurait malgré le refus exprimé par les personnes. Il ressort de ce qui précède que, quelle que soit la modalité d’expression de l’opposition, celle-ci restait ineffective.
51. La formation restreinte considère en outre que l’absence de prise en compte de l’opposition exprimée ressort de la plainte de Madame […] qui fait état de très nombreux appels reçus après avoir manifesté son opposition. Ce fait ressort également des courriels reçus par la société de personnes ne souhaitant plus être la cible de prospection téléphonique, la majorité de ces courriels faisant état de plusieurs appels reçus malgré le refus exprimé.
52. La formation restreinte relève que la société a fait parvenir aux services de la Commission, après le contrôle réalisé le 20 mars 2018, trois attestations de centres d’appels affirmant avoir reçu de la société une liste de personnes ne souhaitant plus être démarchées.
53. La formation restreinte relève que seules trois attestations ont été fournies alors que la société indiquait travailler à l’époque avec trente-six centres d’appels. Elle estime donc, à considérer l’obligation de la société remplie vis-à-vis de ces trois centres d’appels, qu’aucune mesure n’a été prise pour que l’opposition soit effectivement respectée par l’ensemble de ses sous-traitants.
54. En outre, la formation restreinte note que les informations figurant sur les attestations et que la société affirme avoir communiquées aux centres d’appels ne permettent pas une identification suffisante des personnes ayant exprimé leur refus d’être démarchées par téléphone. D’une part, l’absence de toute mention du numéro de téléphone empêche l’inscription de la personne sur une liste d’opposition à la prospection téléphonique. D’autre part, la seule mention de l’adresse électronique de la personne et de son nom de famille (a fortiori lorsque ce dernier est particulièrement répandu) entraîne un risque de confusion en cas d’homonymie. Ainsi, les sous-traitants n’ont pas été mis en mesure de s’assurer que les personnes concernées ne seraient plus contactées par eux.
55. Enfin, la formation restreinte considère que les justificatifs produits par la société ne permettent pas de démontrer que, à l’expiration du délai imparti dans la mise en demeure, la société s’assurait que l’opposition exprimée par une personne démarchée auprès du téléopérateur d’un centre d’appels sous-traitant était communiquée aux fins d’être centralisée puis retransmise à l’ensemble des sous-traitants. La formation restreinte estime qu’en l’absence d’un tel mécanisme, toute opposition exprimée à l’occasion d’un appel de prospection téléphonique n’entraînera pas l’arrêt de toute opération de prospection pour le compte de la société, notamment par un autre centre d’appels.
56. La formation restreinte considère donc, au vu de ces éléments, qu’un manquement à l’article 21 du RGPD était constitué à l’expiration du délai imparti par la mise en demeure.
57. La formation restreinte prend acte des déclarations de la société, tant durant les échanges écrits avec le rapporteur que lors de la séance du 19 septembre 2019, selon lesquelles elle a mis en place, dans le logiciel " Progibos ", une liste d’opposition régulièrement tenue à jour.
58. Pour autant, la formation restreinte considère que ce mécanisme est insuffisant pour imposer son respect par les centres d’appels et, par conséquent, la prise en compte effective de l’opposition des personnes. En effet, la formation restreinte constate que cette liste d’exclusion prend la forme d’un simple tableau, auquel renvoie un bandeau d’information dans le logiciel invitant les téléopérateurs des centres d’appels à consulter le tableau. Rien n’est mis en place pour automatiser le processus et en assurer la fiabilité, par exemple en prévoyant que chaque numéro appelé par un téléopérateur soit automatiquement et préalablement comparé à cette liste d’opposition pour empêcher l’appel. Au regard premièrement des intérêts économiques que représente la prospection commerciale, tant pour la société X que pour ses sous-traitants, deuxièmement du volume d’appels passés pour le compte de la société et troisièmement du nombre de personnes concernées (plus de 300 personnes avaient déjà fait part de leur opposition au jour de la séance), la formation restreinte considère que seul un mécanisme automatisé présente un caractère suffisamment efficace pour garantir que l’opposition exprimée par les personnes concernées soit respectée.
59. En outre, la formation restreinte relève que cette liste contient des données relatives à l’adresse postale des personnes. Ces données sont des données à caractère personnel, et ne sont pas nécessaires à la finalité spécifique de ce traitement qui est de constituer une liste d’opposition à la prospection téléphonique. En effet, les noms, prénoms, et numéros de téléphone suffisent à assurer le respect de cette obligation, sauf à démontrer que la liste permet également de matérialiser l’opposition à la prospection postale.
60. Enfin la formation restreinte observe que la société ne démontre pas que les données des personnes ayant exprimé leur opposition au traitement ont effectivement été purgées du logiciel " Progibos ", le constat d’huissier de justice effectué le 30 juillet 2019 étant muet sur ce point.
61. Cet élément n’est donc pas de nature à remettre en question la caractérisation du manquement évoqué à la clôture de l’instruction.
5. Sur le manquement à l’obligation de coopérer avec l’autorité de contrôle
62. L’article 31 du RGPD prévoit que " le responsable du traitement et le sous-traitant ainsi que, le cas échéant, leurs représentants coopèrent avec l'autorité de contrôle, à la demande de celle-ci, dans l'exécution de ses missions ".
63. La formation restreinte relève les nombreuses demandes des services de la Commission après le contrôle du 20 mars 2018 pour obtenir communication des pièces nécessaires à l’exercice de leur mission, ainsi que les réponses très partielles de la société X qui n’a communiqué qu’une très faible proportion des éléments demandés. Elle relève également que la Commission a systématiquement fait droit aux demandes de prorogation de délais que la société a formulées sans que cela permette la communication des pièces demandées.
64. La formation restreinte note également que la société n'a pas répondu de manière satisfaisante à la mise en demeure qui lui a été notifiée puisque la réponse n’était pas accompagnée des éléments justificatifs demandés dans le cadre de cette procédure et qu’elle ne visait pas l’intégralité des manquements relevés. Là encore, la formation restreinte relève que la société a sollicité et obtenu une prolongation maximale du délai accordé par la mise en demeure.
65. La société indique avoir été mal conseillée, mais la formation restreinte relève, d’une part, qu’en sa qualité de responsable de traitement, il revenait à la seule société de répondre aux demandes qui lui étaient adressées et de rendre compte du respect du RGPD, à charge pour elle, le cas échéant, de choisir les professionnels compétents auxquels elle entendait confier la défense de ses intérêts. Il lui revenait de faire appel à de nouveaux interlocuteurs si elle estimait être confrontée à l’incompétence des premiers saisis.
66. D’autre part, la formation restreinte relève que le manquement relatif à l’absence de coopération avec les services de la Commission, qu’elle considère caractérisé en l’espèce, ne saurait naître d’une simple méconnaissance des règles relatives à la protection des données que la société met en avant pour expliquer la difficulté qu’elle a eue à répondre aux demandes de la CNIL. Elle considère en effet que l’absence de réponse aux demandes formulées par les services de la CNIL et à la mise en demeure adressée par la présidente de la Commission, comme l’absence de prise en compte de ces demandes avant la notification d’un rapport de sanction, suffisent à démontrer, sinon la volonté clairement exprimée de ne pas donner suite aux sollicitations de la CNIL, à tout le moins un désintérêt flagrant pour ces sujets.
67. La formation restreinte note que ce manquement a pris fin à la notification du rapport de sanction, seul moment à partir duquel a pu s’instaurer un échange avec la société, par le biais de son conseil.
68. Enfin, c’est à tort que la société considère que la caractérisation de ce manquement est incompatible avec la possibilité offerte à la société de se mettre en conformité par le biais d’une mise en demeure et d’émettre des observations lors des échanges avec le rapporteur dans le cadre de la procédure de sanction. Le principe de coopération posé par l’article 31 du RGPD préexiste à la procédure engagée : son non-respect est constitué en tant que tel et n’est pas lié à la mise en conformité postérieure de la société ni au principe du contradictoire qui régit la procédure de sanction.
69. La formation restreinte considère donc, au vu de ces éléments, qu’un manquement à l’article 31 du RGPD était constitué à l’expiration du délai imparti par la mise en demeure.
70. La formation restreinte prend acte de la réalité de la coopération intervenue entre la société et le rapporteur. Elle prend en compte les efforts de mise en conformité du responsable de traitement lorsqu’ils sont démontrés, mais la décision qu’elle rend a également vocation à venir sanctionner un comportement passé.
71. Cet élément n’est donc pas de nature à remettre en question la caractérisation du manquement évoqué à l’expiration du délai imparti par la mise en demeure.
6. Sur le manquement à l’obligation d’encadrer les transferts de données à caractère personnel hors de l’Union européenne
72. L’article 44 du RGPD dispose : " un transfert, vers un pays tiers ou à une organisation internationale, de données à caractère personnel qui font ou sont destinées à faire l'objet d'un traitement après ce transfert ne peut avoir lieu que si, sous réserve des autres dispositions du présent règlement, les conditions définies dans le présent chapitre sont respectées par le responsable du traitement et le sous-traitant, y compris pour les transferts ultérieurs de données à caractère personnel au départ du pays tiers ou de l'organisation internationale vers un autre pays tiers ou à une autre organisation internationale. Toutes les dispositions du présent chapitre sont appliquées de manière à ce que le niveau de protection des personnes physiques garanti par le présent règlement ne soit pas compromis ".
73. La formation restreinte relève que la société effectuait, au jour du contrôle, un transfert de données vers des États considérés comme n’assurant pas un niveau de protection adéquat au regard de l’article 45 du RGPD (Côte d’Ivoire, Maroc, Tunisie) à travers son logiciel " Progibos ".
74. Compte tenu de l’absence d’adéquation, la formation restreinte constate qu’il revenait à la société X de prévoir des garanties appropriées, conformément aux dispositions de l’article 46 du RGPD.
75. Concernant la situation au jour du contrôle réalisé et ressortant ensuite des éléments communiqués par le conseil de la société en réponse à la mise en demeure, le responsable de traitement a fait le choix d’encadrer le transfert des données personnelles à ses sous-traitants situés hors du territoire de l’Union européenne par des clauses contractuelles. La formation restreinte constate néanmoins que ces clauses ne répondent pas aux exigences posées par les articles 44 et suivants du RGPD puisqu’elles n’ont été adoptées ni par la Commission européenne ni par une autorité de contrôle, contrairement à ce qu’impose l’article 46 du RGPD.
76. La formation restreinte prend note des nouvelles clauses relatives à la protection des données à caractère personnel que le conseil de la société a communiquées au rapporteur dans le cadre de la procédure de sanction et constate que ces clauses reprennent les clauses contractuelles types de la Commission européenne.
77. Néanmoins, la formation restreinte constate d’une part que, au jour de la clôture de l’instruction, les contrats qui lui ont été communiqués ne sont pas des documents définitifs, puisque certaines clauses ne sont pas entièrement rédigées, et notamment les clauses relatives à la rémunération du prestataire.