AgentPublic/cnil huggingface dataset:
26. Elle souligne que cette interprétation de l’article 20 de la loi " Informatique et Libertés " est dans la ligne du RGPD en ce que cet article vise à la responsabilisation des responsables de traitement. Les mesures correctrices relevant des pouvoirs de la formation restreinte de la CNIL peuvent être prises directement dans tous les cas, que le manquement puisse toujours, ou non, faire l’objet d’une mise en conformité. Le considérant 148 du RGPD précise ainsi que toute violation du présent règlement peut faire l’objet de sanctions : " Afin de renforcer l'application des règles du présent règlement, des sanctions y compris des amendes administratives devraient être infligées pour toute violation du présent règlement, en complément ou à la place des mesures appropriées imposées par l'autorité de contrôle en vertu du présent règlement. […]. Il convient toutefois de tenir dûment compte de la nature, de la gravité et de la durée de la violation, du caractère intentionnel de la violation et des mesures prises pour atténuer le dommage subi, du degré de responsabilité ou de toute violation pertinente commise précédemment, de la manière dont l'autorité de contrôle a eu connaissance de la violation […] ". Le critère de durée de la violation s’applique donc aussi bien à un manquement terminé que persistant.
27. Par ailleurs, la formation restreinte observe que le Conseil d’Etat a retenu cette interprétation en rappelant que : " Il résulte de ces dispositions, éclairées par les travaux préparatoires de la loi du 7 octobre 2016, que la formation restreinte de la CNIL peut, sans mise en demeure préalable, sanctionner un responsable de traitement dont les manquements aux obligations qui lui incombent ne sont pas susceptibles d’être régularisés, soit qu’ils soient insusceptibles de l’être, soit qu’il y ait déjà été remédié. " (CE, n° 423559, 17 avril 2019, Association pour le développement des foyers).
28. En second lieu, la société soutient que l’absence de règles de prescription des manquements dans la loi " Informatique et Libertés " et le RGPD démontre que seuls des manquements en cours au jour de la séance de la formation restreinte peuvent être sanctionnés et qu’une interprétation contraire se heurterait à la jurisprudence retenue par la Cour européenne des droits de l’homme selon laquelle les règles de prescription sont une condition du procès équitable.
29. Le rapporteur rappelle que la Commission a été saisie de quatre plaintes entre 2018 et 2019, que des contrôles ont été effectués par la délégation de la CNIL en mai 2019 et en février 2020 et que le rapporteur désigné en décembre 2019 aux fins d’instruction de ces éléments a notifié son rapport le 28 février 2020. La formation restreinte considère donc que la Commission a appliqué un délai raisonnable entre les constats effectués par la délégation de contrôle et la saisine de la formation restreinte.
30. La formation restreinte relève à cet égard qu’il résulte de la jurisprudence de la Cour de justice de l’Union européenne que " l’obligation de l’administration d’agir dans un délai raisonnable, dont le respect est susceptible d’être contrôlé par le juge de l’Union, offre un niveau de protection suffisant dans les situations où aucun délai de prescription n’est fixé par les textes. " (CJUE, n° T-342/14, Ordonnance du Tribunal, CR contre Parlement européen et Conseil de l’Union européenne, 12 décembre 2014).
31. La formation restreinte considère ainsi que la société n’est pas fondée à soutenir qu’elle ne dispose du pouvoir de prononcer les mesures visées à l’article 20 III de la loi " Informatique et Libertés " qu’en présence de manquements persistants et actuels, et que la procédure suivie devant elle méconnait le droit à un procès équitable.
2. Sur le grief tiré de la méconnaissance du champ de la saisine de la formation restreinte
32. La société considère que la formation restreinte ne peut se prononcer sur le manquement allégué aux dispositions de l’article L. 34-5 du code des postes et des communications électroniques (ci-après le " CPCE ").
33. En premier lieu, la société soutient que la décision de contrôle n° 2019-082C de la présidente de la CNIL, les actes d’investigation ou d’instruction qui ont suivi, ainsi que la décision de la présidente du 19 décembre 2019 portant désignation d’un rapporteur et saisine de la formation restreinte, ne visent pas l’article L. 34-5 du CPCE. En conséquence, la formation restreinte ne pourrait se prononcer sur le manquement allégué aux dispositions de l’article L. 34-5 du CPCE sans méconnaître le champ de sa saisine.
34. La société soutient également que la formation restreinte ne peut se fonder sur les éléments de l’enquête pour établir un manquement à l’article L. 34-5 du CPCE sans méconnaître les principes de spécialité de l’enquête – imposant que l’enquête soit réalisée dans les limites de son champ défini par la décision qui en constitue la base juridique – et de loyauté de l’enquête – obligeant les enquêteurs à mentionner l’objet et la base juridique des investigations.
35. Le rapporteur rappelle que les décisions précitées visent la loi " Informatique et Libertés " et le RGPD et que les actes d’investigation ou d’instruction qui en résultent sont menés dans ce cadre. L’article 8 de la loi fixe les missions de la CNIL et précise notamment qu’elle " veille à ce que les traitements de données à caractère personnel soient mis en œuvre conformément aux dispositions de la présente loi et aux autres dispositions relatives à la protection des données personnelles prévues par les textes législatifs et réglementaires, le droit de l'Union européenne et les engagements internationaux de la France ".
36. Le rapporteur soutient ainsi que la loi du 6 janvier 1978 modifiée renvoie à toutes les dispositions relatives à la protection des données à caractère personnel prévues par les textes législatifs et réglementaires. Les opérations de prospection visées par l’article L. 34-5 du CPCE concernent un traitement de données à caractère personnel et cet article donne compétence à la CNIL pour veiller à son respect lorsque les données traitées ont un caractère personnel. L’alinéa 6 de l’article L. 34-5 du CPCE prévoit ainsi que : " La Commission nationale de l’informatique et des libertés veille, pour ce qui concerne la prospection directe utilisant les coordonnées d’un abonné ou d’une personne physique, au respect des dispositions du présent article en utilisant les compétences qui lui sont reconnues par la loi n° 78-17 du 6 janvier 1978 précitée ".
37. La formation restreinte considère que c’est dans ce cadre que la délégation de la CNIL a procédé à trois contrôles auprès de la société et que la formation restreinte a été saisie.
38. La formation restreinte souligne en outre que cette interprétation a été retenue par le Conseil d’Etat qui a reconnu la compétence de la CNIL pour veiller au respect des dispositions de l’article L. 34-5 du CPCE (CE, n° 368624, 11 mars 2015, Société TUTO4PC).
39. En conséquence, la formation restreinte a été régulièrement saisie et c’est sans méconnaitre les principes de spécialité et de loyauté qu’elle se fonde sur les éléments des contrôles pour examiner les faits commis par la société au regard des dispositions de l’article L. 34-5 du CPCE.
40. En second lieu, la société soutient que, si la formation restreinte pouvait être saisie de manquements allégués à l’article L. 34-5 du CPCE, les enquêteurs de la CNIL ne peuvent pas réaliser des mesures d’investigation à cet effet, cette prérogative étant réservée, en vertu de l’alinéa 7 de l’article L. 34-5 du CPCE, aux agents de la concurrence, de la consommation et de la répression des fraudes et aux fonctionnaires chargés de missions de protection économique des consommateurs.
41. Or, le rapporteur rappelle que les dispositions de l’alinéa 6 de l’article L. 34-5 du CPCE prévoient que la CNIL utilise ses compétences afin de veiller au respect de l’article précité pour ce qui concerne la prospection directe utilisant les coordonnées d’un abonné ou d’une personne physique. Ces compétences sont précisées dans la loi du 6 janvier 1978 modifiée et elles comportent, au titre de ses articles 19 et 20, des pouvoirs d’enquête et de sanction.
42. La formation restreinte considère ainsi que les agents de la CNIL sont compétents pour réaliser des missions de contrôle en vertu des dispositions de l’article L. 34-5 du CPCE afin de veiller au respect de cet article pour ce qui concerne précisément la prospection directe utilisant les coordonnées d’un abonné ou d’une personne physique.
3. Sur l’imprécision des griefs opposés à la société
43. La société souligne que les griefs notifiés dans le rapport de sanction ne sont délimités ni matériellement ni dans le temps et ne répondent pas au standard de preuve requis en matière pénale. En conséquence, la société soutient qu’elle n’est pas en mesure d’exercer utilement ses droits de la défense.
44. Le rapporteur indique que les faits sur lesquels les manquements ont été fondés ont été constatés lors des contrôles effectués par la délégation de la CNIL les 3 et 14 mai 2019 et le 20 février 2020. Ces manquements ont été matériellement et temporellement caractérisés dans le rapport notifié à la société. Le rapporteur estime ainsi avoir permis à la société d’exercer utilement ses droits de la défense.
45. Le rapporteur souligne également que la formation restreinte n’est pas une juridiction pénale et qu’elle dispose du pouvoir de prononcer des sanctions de nature administrative et qu’ainsi le standard de preuve requis devant la formation restreinte ne doit pas répondre aux exigences de la matière pénale mais à celles fixées par la loi " Informatique et Libertés " et par son décret d’application.
46. A cet égard, le rapporteur rappelle également que chaque grief est étayé par des éléments issus des opérations de contrôle dans le cadre desquelles un procès-verbal, comportant des pièces en annexe, est rédigé.
47. Au vu de l’ensemble de ces éléments, la formation restreinte considère que la délégation de contrôle a assuré un standard de preuve élevé qui permet de garantir leur fiabilité, que les manquements ont été matériellement et temporellement caractérisés dans le rapport notifié à la société et qu’ainsi, la société ne saurait se prévaloir d’une imprécision des griefs qui lui sont opposés.
B. Sur le manquement relatif à l’obligation de recueillir le consentement de la personne concernée par une opération de prospection directe au moyen d’un système automatisé de communications électroniques en application de l’article L. 34-5 du CPCE
1. Sur l’absence de consentement des personnes à la réception de messages de prospection commerciale
48. L’article L. 34-5 du CPCE dispose : " Est interdite la prospection directe au moyen de système automatisé de communications électroniques au sens du 6° de l'article L. 32, d'un télécopieur ou de courriers électroniques utilisant les coordonnées d'une personne physique, abonné ou utilisateur, qui n'a pas exprimé préalablement son consentement à recevoir des prospections directes par ce moyen.
Pour l'application du présent article, on entend par consentement toute manifestation de volonté libre, spécifique et informée par laquelle une personne accepte que des données à caractère personnel la concernant soient utilisées à fin de prospection directe. […] ".
Aux termes de l’alinéa 6 du même article, " La Commission nationale de l'informatique et des libertés veille, pour ce qui concerne la prospection directe utilisant les coordonnées d'un abonné ou d'une personne physique, au respect des dispositions du présent article en utilisant les compétences qui lui sont reconnues par la loi n° 78-17 du 6 janvier 1978 précitée. A cette fin, elle peut notamment recevoir, par tous moyens, les plaintes relatives aux manquements aux dispositions du présent article […] ".
49. Le rapporteur soutient que la société ne recueille pas le consentement des personnes dont les données à caractère personnel sont accessibles sur Internet, préalablement à l’envoi de messages de prospection commerciale.
50. Le rapporteur a relevé que, lors du contrôle du 14 mars 2019, la société a indiqué à la délégation de contrôle de la CNIL qu’elle constitue sa base de prospects à partir de données à caractère personnel accessibles en ligne sur le site web de réseau social professionnel de la société [...]. Elle a précisé travailler avec deux sociétés, A et B, pour la création de bases de données à caractère personnel destinées à la prospection commerciale.
51. Tout d’abord, la société A établit des listes de prospection contenant les noms et prénoms de prospects, associés à la dénomination de l’entreprise au sein de laquelle ils travaillent. Ces données sont collectées par le service " Sales Navigator " proposé par la société [...], qui recense l’ensemble des personnes travaillant dans une entreprise et une région. Par la suite la société […] transfère le fichier établi par la société A, à la société B, qui procède à l’enrichissement de ce fichier, notamment en ajoutant l’adresse électronique professionnelle des personnes.
52. La société a indiqué à la délégation de contrôle de la CNIL que les fichiers constitués à l’aide de ces deux sociétés lui permettent, par la suite, de solliciter les personnes susceptibles d’être intéressées par ses services. Pour ce faire, il revient enfin à une autre société, la société C, de procéder aux envois à ces prospects de courriels d’information et de codes promotionnels pour le compte de la société […].
53. La société a informé la délégation que, 635 033 prospects ont reçu, depuis 2017, de tels courriers électroniques de prospection.
54. La société soutient que la base légale du traitement ayant pour finalité la prospection commerciale des personnes, effectué sur leur adresse électronique professionnelle est l’intérêt légitime du responsable de traitement. La société a également précisé avoir pour ambition de devenir la référence des services de livraison de déjeuners d’affaires dans les locaux professionnels de ses clients et qu’il est donc " vital " pour elle d’acquérir une base de clients professionnels potentiels.
55. Le rapporteur a relevé que dans un premier temps, la société avait informé la délégation qu’elle ne recueillait pas le consentement des personnes dès lors que " cet emailing de prospection – dont la base légale est l’intérêt légitime de […] – intervient strictement dans le cadre professionnel que constituent les déjeuners en entreprise (adresse de courriel professionnelle, livraison dans les locaux professionnels, aux heures d’exercice de l’activité professionnelle du client, etc.) ".
56. Dans sa réponse au rapport de sanction, la société a ensuite soutenu qu’elle s’assurait du consentement des personnes à ce que leurs données à caractère personnel soient utilisées à des fins de ciblage publicitaire en choisissant les services de la société [...], dont la politique de confidentialité prévoit la communication des données à caractère personnel de ses membres à des annonceurs : " En choisissant les services de la société [...], […] a pris les précautions nécessaires pour s’assurer du consentement des prospects à ce que leurs données soient utilisées à des fins de ciblage publicitaire et à ce qu’elles soient communiquées à des annonceurs. En l’espèce, […] recours aux services de la société [...] en tant que l’un de ses sous-traitants. La société [...] agit donc au nom et pour le compte de […] qui peut donc légitimement se prévaloir du consentement recueilli par la société [...] pour son compte. "
57. La formation restreinte relève que le réseau social professionnel [...] permet à des personnes de s’inscrire afin d’entrer en relation avec des professionnels, dans le cadre d’une recherche d’emploi, ou encore de partager des informations avec leur réseau professionnel et d’étendre ce réseau professionnel. La formation restreinte considère dès lors que les messages de prospection envoyés par la société pour la vente de repas sur le lieu de travail des personnes n’ont que peu de lien avec l’activité professionnelle des prospects.
58. La formation restreinte considère également que les prospects démarchés n’ont pas eu connaissance de la collecte de leurs données à caractère personnel par la société et qu’elle a procédé à une prospection par courriels et SMS, sans avoir préalablement recueilli leur consentement.
59. En outre, la formation restreinte souligne que la prospection commerciale réalisée par la société entre dans le champ de l’alinéa 1 de l’article L. 34-5 du CPCE qui prévoit une base légale spécifique fondée sur le consentement, écartant ainsi la possibilité de l’intérêt légitime comme base légale pour ces opérations de prospection.
60. Dans de telles circonstances, la formation restreinte considère que la société est tenue de recueillir le consentement préalable, libre, spécifique et informé des personnes à recevoir des messages de prospection directe par courrier électronique, conformément à l’article L. 34-5 du CPCE, ce qu’elle ne fait pas.
61. La formation restreinte considère que la suppression des données à caractère personnel collectées sans le consentement des personnes est nécessaire dans la mesure où ces données sont traitées en l’absence de base légale, les personnes concernées n’ayant pas donné leur consentement. Elle relève que la société lui a indiqué avoir détruit sa base contenant les données à caractère personnel des prospects, sans toutefois en justifier. Elle considère par ailleurs que la suppression des données des prospects qui sont aujourd’hui devenus des clients de la société n’est pas nécessaire.
62. Dans ces conditions, la formation restreinte considère que la société a méconnu les dispositions de l’article L. 34-5 du CPCE.
2. Sur l’absence de consentement des personnes créant un compte sur le site web ou l’application de la société, à la réception des messages de prospection commerciale
63. Le rapporteur soutient que la société ne recueille pas le consentement des personnes créant un compte sur son site web ou son application pour le traitement de leurs données à caractère personnel à des fins de prospection commerciale par courriers électroniques.
64. Le rapporteur a relevé que lors de la création d’un compte par la délégation de la CNIL sur le site web de la société, à l’occasion du contrôle effectué le 3 mai 2019, aucun procédé visant à recueillir le consentement à la collecte et au traitement des données à des fins de prospection commerciale par courriers électroniques n’était mis en place.
65. Le rapporteur a également relevé que la délégation de la CNIL, qui n’avait passé aucune commande ni donné un tel consentement, a reçu des courriels et des SMS de prospection de la part de la société. De tels envois ont continué jusqu’en août 2019 et sont reconnus par la société.
66. La formation restreinte considère que la société est tenue de recueillir le consentement préalable, libre, spécifique et informé des personnes créant un compte sur le site web ou sur l’application de la société, à recevoir des messages de prospection directe par courriers électroniques, conformément à l’alinéa 1 de l’article L. 34-5 du CPCE.
67. Dans le cadre de la procédure, la société a justifié avoir inséré un mode d’obtention du consentement à compter du 11 septembre 2019 sur le site internet et du 5 mars 2020 sur l’application, et sa mise en conformité avec l’article L. 34-5 du CPCE puisque dès la création d’un compte client sur le site web ou sur l’application […], l’utilisateur doit renseigner un formulaire d’inscription dont l’une des rubriques consiste à renseigner, notamment, son choix de recevoir par courriel les menus du jour, de la semaine, ou les offres spéciales en cochant l’un des cases correspondantes.
68. Dans ces conditions, la formation restreinte considère que le manquement à l’article L. 34-5 du CPCE est constitué, mais que la société s’est complètement mise en conformité à la date de clôture de l’instruction.
C. Sur le manquement relatif à l’obligation d’informer les personnes en application des articles 12 et 13 du RGPD
69. Aux termes de l’alinéa 1 de l’article 12 du RGPD : " Le responsable du traitement prend des mesures appropriées pour fournir toute information visée aux articles 13 et 14 ainsi que pour procéder à toute communication au titre des articles 15 à 22 et de l'article 34 en ce qui concerne le traitement à la personne concernée d'une façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples […] ".
70. L’article 13 du RGPD exige du responsable de traitement qu’il fournisse, au moment où les données sont collectées, les informations relatives à son identité et ses coordonnées, les finalités du traitement et sa base juridique, les destinataires ou les catégories de destinataires des données à caractère personnel, le cas échéant les transferts de données à caractère personnel, la durée de conservation des données à caractère personnel, les droits dont bénéficient les personnes ainsi que le droit d’introduire une réclamation auprès d’une autorité de contrôle.
71. Le rapporteur relève que, tel qu’il ressort des constations effectuées lors du contrôle en ligne du 20 février 2020, l’information mise à disposition des utilisateurs du site et de l’application, n’était ni complète au sens de l’article 13 du Règlement ni aisément accessible au sens de l’article 12 du Règlement.
72. En défense, la société a indiqué avoir procédé à des rectifications, dans le cadre de la procédure, afin de délivrer une information conforme aux exigences du RGPD.
73. La formation restreinte rappelle que pour considérer qu’un responsable de traitement satisfait à son obligation de transparence, il convient notamment que l’information fournie soit " aisément accessible " pour les personnes concernées au sens de l’article 12 du Règlement.
74. Elle relève, à cet égard, que cette disposition doit être interprétée à la lumière du considérant 61 du Règlement, aux termes duquel : " les informations sur le traitement des données à caractère personnel relatives à la personne concernée devraient lui être fournies au moment où ces données sont collectées auprès d'elle ". En ce sens, elle partage la position du G29 présentée dans les lignes directrices sur la transparence au sens du Règlement, adoptées dans leur version révisée le 11 avril 2018 (ci-après " les lignes directrices sur la transparence "), qui rappelle que " la personne concernée ne devrait pas avoir à rechercher les informations mais devrait pouvoir tout de suite y accéder ".
75. En l’espèce, la formation restreinte relève que le formulaire de collecte des données à caractère personnel permettant de s’inscrire sur le site web de la société ne comportait pas l’ensemble des informations exigées par l’article 13 du RGPD ou ne renvoyait pas vers une page dédiée contenant la totalité des informations prévues par le RGPD. Ainsi, la formation restreinte relève qu’aucune information relative aux bases juridiques des traitements mis en œuvre, aux destinataires ou aux catégories de destinataires des données, à la durée de conservation de celles-ci ou encore l’existence du droit d’introduire une réclamation auprès d’une autorité de contrôle n’était fournie.