AgentPublic/cnil huggingface dataset:
La Commission relève la formulation particulièrement large retenue s’agissant des finalités poursuivies par le traitement " " valorisation des données pour l'analyse de risque ". Elle estime à cet égard que l’alinéa 1er de l’article 2 mériterait de mentionner les catégories d’infractions à la législation fiscale et douanière effectivement visées. La Commission prend acte de l’engagement du ministère de modifier le projet d’arrêté en ce sens.
La Commission relève en outre que le traitement projeté permet de manière concrète de stocker des données issues de différents traitements de la DGDDI, de préparer ces données aux fins d’analyse et enfin de modéliser et d’explorer celles-ci (notamment par la mise en œuvre de techniques de datamining et des méthodes statistiques et de probabilités).
Elle constate que les résultats ainsi obtenus via les différentes techniques précitées seront transmis aux services douaniers compétents en matière de ciblage et de contrôle pour une analyse humaine approfondie. La Commission observe dès lors que le traitement projeté ne constitue qu’un outil d’aide et d’orientation des travaux des agents et non un outil de profilage destiné à identifier directement des fraudeurs potentiels et prend acte que les données modélisées par le traitement projeté ne conduiront en aucun cas à une programmation automatique des contrôles, ni a fortiori, à des décisions directement opposables aux personnes concernées.
En second lieu, l’alinéa 2 du projet d’arrêté prévoit l’analyse par comparaison des données collectées sur les plateformes et réseaux sociaux avec celles enregistrées dans le traitement dans le traitement " valorisation des données pour l’analyse de risque " nouvellement créé à cet effet.
Au regard des précisions apportées par le ministère, la Commission prend acte qu’un contrôle de proportionnalité sera réalisé sur les données issues du dispositif de collecte de l’article 154 de la loi de finances pour 2020 avant le transfert de celles-ci au traitement " valorisation des données pour l’analyse des risques ". Précisément, les données transférées et enregistrées seront celles se rapportant strictement aux indicateurs et critères de pertinence, expurgées des données sensibles et des données qui ne sont pas de nature à concourir à la constatation des infractions et manquements visés dans le cadre de l’article 154 de la loi de finances précitée, et que celles-ci seront par la suite sélectionnées sur la base de scores
Sur les données traitées
La Commission relève que les données amenées à être enregistrées sont issues de différents traitements mis en œuvre régulièrement par la DGDDI lesquels sont listés à l’article 5 du projet d’arrêté. Elle constate toutefois qu’il ressort de la documentation transmise par le ministère que le traitement " ROSA " (référentiel des opérateurs et suivi des agréments) alimentera le traitement projeté. Sur ce point la Commission prend acte de l’engagement du ministère de modifier le projet d’arrêté pour y faire figurer le traitement " ROSA " précité.
En outre, si la Commission estime que le traitement ultérieur des données provenant d’autres traitements ne s’avère pas incompatible avec les finalités poursuivies par le traitement projeté, elle rappelle toutefois qu’il reviendra au ministère de procéder, le cas échéant, à la mise à jour des actes réglementaires afférents à ces traitements et de s’assurer de l’exactitude des données enregistrées dans le traitement projeté.
En outre, le 9° de l’article 3 du projet d’arrêté mentionne, au titre des catégories de données traitées, les " données issues du traitement de collecte et de sélection des données pertinentes " dans le cadre de l’expérimentation prévue par l’article 154 de la loi du 28 décembre 2019 de finances pour 2020. Le ministère a indiqué que les données issues du dispositif de collecte de l’article 154 précité qui seront transmises au traitement projeté sont l’ensemble des données collectées sur les plateformes, soit les données dites " brutes " (par exemple, les textes et les images, URL, pseudo du compte utilisateur, date de collecte), expurgées des données sensibles et des données qui ne sont pas de nature à concourir à la constatation des infractions et manquements visés dans le cadre de l’article 154 de la loi de finances précitée.
La Commission prend acte de la modification de l’article 3 du projet d’arrêté devra afin de faire apparaître de manière explicite les catégories de données qu’il est envisagé de collecter.
Sur les durées de conservation
S’agissant des durées de conservation des catégories de données mentionnées au 1° à 8° de l’article 3 du projet d’arrêté, la Commission observe que ces durées correspondent à celles prévues par les actes réglementaires relatifs aux traitements sources.
S’agissant des durées de conservation des données mentionnées au 9° de l’article 3 du projet d’arrêté, à savoir les données issues du dispositif de collecte de l’article 154 de la loi de finances susvisée, la Commission relève que ces durées correspondent à celles fixées par le législateur à l’article 154 précitée.
 
Sur les accédants et les destinataires
La Commission relève que les deux premiers alinéas de l’article 6 du projet d’arrêté font uniquement référence aux " informations traitées " sans préciser s’il s’agira d’informations relatives aux données collectées dans le cadre du seul traitement " valorisation des données pour l’analyse de risque " ou des informations résultant des opérations effectuées dans le cadre de l’article 154 de la loi de finances pour 2020. Elle demande que le projet d’arrêté soit explicité sur ce point pour préciser ce à quoi pourront accéder les personnels visés à l’article 6 du projet d’arrêté.
Sur les droits des personnes concernées
S’agissant des droits d’accès, de rectification, d’effacement et à la limitation, l’article 7 du projet d’arrêté indique que ces droits s’exercent auprès du bureau en charge de la politique des contrôles au sein de la DGDDI. Le ministère précise par ailleurs que dans la mesure où le traitement projeté contiendra des données issues d’autres traitements, les droits d’accès ou de rectification s’exerceront prioritairement dans le cadre des traitements " sources " et que les éventuelles rectifications résultant de l’exercice de ces droits seront automatiquement répercutées dans le traitement projeté via un mécanisme de mise à jour des données, ce dont elle prend acte.
 
Sur les mesures de sécurité 
La Commission observe que des mesures sont mises en place afin de garantir un strict accès aux données et que seules les personnes dûment habilitées et dans la limite du besoin d’en connaître pourront y accéder comme l’indique l’article 6 du projet d’arrêté.
L’article 8 du projet d’arrêté précise que les opérations de collecte, de modification, de consultation, de communication, de transfert, d'interconnexion et de suppression des données et informations du traitement font l'objet d'un enregistrement comprenant l'identification de l'auteur, la date et l'heure de l'opération. Les journaux des opérations de consultation et de communication font, en outre, apparaître le motif de l'opération.
 
La Présidente
M.-L. DENIS
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de Monsieur Alexandre LINDEN, président, Monsieur Philippe-Pierre CABOURDIN, vice-président, Madame Christine MAUGÜÉ, Monsieur Alain DRU et Monsieur Bertrand du MARAIS, membres ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données (RGPD) ;
Vu la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques ;
Vu le code des postes et des communications électroniques ;
Vu la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;
Vu le décret no 2019-536 du 29 mai 2019 pris pour l'application de la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la décision n° 2020-113C du 12 mai 2020 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements mis en œuvre par XX ou pour son compte ;
Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte, en date du 29 juillet 2021 ;
Vu le rapport de Monsieur François PELLEGRINI, commissaire rapporteur, notifié à la société X le 25 février 2022 ;
Vu les observations écrites versées par la société X le 25 mars 2022 ;
Vu les autres pièces du dossier ;
Étaient présents, lors de la séance de la formation restreinte du 21 avril 2022 :
- Monsieur François PELLEGRINI, commissaire, entendu en son rapport ;
 
En qualité de représentants de la société X :
- […]
 
La société X ayant eu la parole en dernier ;
 
La formation restreinte a adopté la décision suivante :
 
1. Faits et procédure
 
2. La société X (ci-après " la société "), anciennement dénommée X, dont le siège social est situé […], est une société anonyme qui a pour activité la fourniture et la production d’électricité et de gaz en France. Créée en 2003, la société compte environ […] salariés.
 
3. Pour l’année 2020, la société a réalisé un chiffre d’affaires de […] euros, pour un résultat net de […] euros. En 2021, la société dénombrait près de 8 millions de clients et prospects, ce qui la classait au […] en France.
4. Entre le mois d’octobre 2019 et le mois de juillet 2020, la Commission nationale de l’informatique et des libertés (ci-après " la CNIL " ou " la Commission ") a été saisie de 27 plaintes à l’encontre de la société. Parmi ces plaintes, 18 ont été examinées dans le cadre de la présente procédure de sanction. Les plaignants faisaient notamment état des difficultés rencontrées dans l’exercice de leurs droits d’accès ou d’opposition à recevoir des appels téléphoniques de prospection commerciale.
 
5. Pour les besoins de l’instruction des plaintes, un contrôle en ligne a été effectué sur le site web " […] " le 10 août 2020. Le procès-verbal n° 2020-113-1, dressé par la délégation le jour du contrôle, a été notifié à la société le 19 août 2020. La délégation de la CNIL s’est notamment attachée à vérifier la gestion, par la société, des droits des personnes, et plus particulièrement la manière dont elle avait traité les demandes d’exercice des droits des personnes ayant saisi la Commission de plaintes. Ce contrôle avait également pour but de vérifier l’information fournie par la société aux prospects contactés dans le cadre d’opérations de démarchage téléphonique ainsi que la possibilité qui leur était offerte de pouvoir s’y opposer.
6. Trois demandes de complément d’informations ont ensuite été adressées à la société par lettres recommandées avec avis de réception, datées des 19 août 2020, 25 novembre 2020 et 19 février 2021. La société a répondu par courriers datés du 1er octobre 2020, du 11 décembre 2020 et du 5 mars 2021.
 
7. Aux fins d’instruction de ces éléments, la présidente de la Commission a, le 29 juillet 2021, désigné Monsieur François PELLEGRINI en qualité de rapporteur sur le fondement de l’article 22 de la loi du 6 janvier 1978 modifiée.
 
8. Par courrier du 6 janvier 2022, le rapporteur a demandé à la société de fournir son bilan comptable de l’année 2020, ce qu’elle n’a pas fait.
 
9. Le rapporteur a, le 25 février 2022, fait notifier à la société un rapport détaillant les manquements au RGPD qu’il estimait constitués en l’espèce, accompagné d’une convocation à la séance de la formation restreinte du 21 avril 2022.
10. Ce rapport proposait à la formation restreinte de la Commission de prononcer une amende administrative et une injonction de mettre en conformité le traitement avec les dispositions de l’article L. 34-5 du code des postes et des télécommunications électroniques (CPCE) et des articles 12, 14, 15 et 21 du RGPD, assortie d’une astreinte par jour de retard à l’issue d’un délai de trois mois suivant la notification de la délibération de la formation restreinte. Il proposait également que cette décision soit rendue publique, mais qu’il ne soit plus possible d’identifier nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.
 
11. Le 25 mars 2022, la société a produit ses observations en réponse au rapport de sanction.
 
La société et le rapporteur ont présenté des observations orales lors de la séance de la formation restreinte.
 
I. Motifs de la décision
 
A. Sur le manquement aux obligations de l’article L. 34-5 du code des postes et des communications électroniques
12. 
Aux termes de l’article L. 34-5 du CPCE :
" Est interdite la prospection directe au moyen de système automatisé de communications électroniques au sens du 6° de l'article L. 32, d'un télécopieur ou de courriers électroniques utilisant les coordonnées d'une personne physique, abonné ou utilisateur, qui n'a pas exprimé préalablement son consentement à recevoir des prospections directes par ce moyen. (…) / Toutefois, la prospection directe par courrier électronique est autorisée si les coordonnées du destinataire ont été recueillies auprès de lui, dans le respect des dispositions de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, à l'occasion d'une vente ou d'une prestation de services, si la prospection directe concerne des produits ou services analogues fournis par la même personne physique ou morale, et si le destinataire se voit offrir, de manière expresse et dénuée d'ambiguïté, la possibilité de s'opposer, sans frais, hormis ceux liés à la transmission du refus, et de manière simple, à l'utilisation de ses coordonnées au moment où elles sont recueillies et chaque fois qu'un courrier électronique de prospection lui est adressé au cas où il n'aurait pas refusé d'emblée une telle exploitation. (…) ".
13. Le rapporteur observe d’abord qu’à l’occasion du contrôle effectué le 10 août 2020, la société a indiqué à la CNIL effectuer différents types des campagnes de prospection commerciale, dont des campagnes dites de " relance " au cours desquelles elle contacte notamment des prospects ayant communiqué leurs données par le biais de formulaires disponibles sur son site web. Les prospects peuvent être contactés par téléphone ou par courriel.
 
14. Le rapporteur relève ensuite que la délégation de contrôle a constaté que, au moment de souscrire en ligne sur le site web de la société, l’utilisateur doit renseigner sur le formulaire de collecte correspondant son adresse électronique et son numéro de téléphone en dessous de la mention l’informant que : " En renseignant les informations suivantes, vous reconnaissez donner votre accord à leur utilisation par X pour vous présenter ultérieurement ses offres ". Il souligne que cette mention n’est accompagnée d’aucune modalité, telle qu’une case à cocher, permettant à l’utilisateur de s’opposer à l’utilisation de ses coordonnées à de telles fins, au moment où celles-ci sont recueillies.
15. En défense, la société apporte des éléments de réponse en lien avec deux formulaires disponibles sur son site web. Elle soutient d’abord que le formulaire de demande de devis en ligne est conforme aux règles applicables en ce qu’il informe l’utilisateur que ses coordonnées sont renseignées à titre facultatif et qu’il contient une case à cocher, non pré-cochée par défaut, lui permettant d’accepter de recevoir des offres commerciales de la société par courriel, par SMS ou par téléphone. La société soutient en outre que l’article L. 34-5 du CPCE n’a pas vocation à s’appliquer au formulaire de souscription en ligne dès lors que les appels téléphoniques et courriels émis auprès des personnes n’ayant pas finalisé leur souscription n’ont en principe pas vocation à promouvoir des produits ou services de l’entreprise mais ont pour objectif de proposer une assistance à l’utilisateur afin de l’aider à finaliser sa souscription en cours. La société précise toutefois avoir pris des mesures dans le cadre de la procédure de sanction pour ajouter une case à cocher sur ce formulaire et ajoute ne plus adresser, depuis septembre 2020, de courriels aux personnes qui débutent une souscription en ligne sans la finaliser.
16. En premier lieu, la formation restreinte relève que, s’agissant du formulaire de demande de devis, le rapporteur a précisé en cours de procédure que sa conformité n’était pas contestée, seul le formulaire de souscription en ligne étant visé dans son rapport. Elle considère également que les modalités de collecte des données par le biais de ce formulaire de demande de devis sont conformes aux règles applicables. 
 
17. En second lieu, s’agissant du formulaire de souscription en ligne, la formation restreinte rappelle qu’il ressort des dispositions précitées de l’article L. 34-5 du CPCE que les responsables de traitement peuvent, à l’occasion d’une vente ou d’une prestation de services, collecter des données à caractère personnel à des fins de prospection commerciale pour des produits ou services analogues, sans recueillir le consentement des intéressés, sous réserve d’une collecte conforme aux exigences de la loi Informatique et Libertés, effectuée auprès de la personne concernée et en lui offrant la possibilité de s’opposer à un tel traitement de données au moment où elles sont recueillies, puis lors de chaque message de prospection.
18. En l’espèce, la formation restreinte considère que le fait que l’utilisateur, lorsqu’il remplit le formulaire de souscription en ligne, ne puisse s’opposer à l’utilisation de ses données à des fins de prospection commerciale électronique, au moment où celles-ci sont collectées, constitue un manquement aux obligations de l’article L. 34-5 du CPCE dès lors que le formulaire l’informe que les informations renseignées, comportant son adresse électronique, peuvent être utilisée par la société afin de lui " présenter ultérieurement ses offres ".
 
19. Dans ces conditions, la formation restreinte considère que la société a méconnu ses obligations résultant de l’article L. 34-5 du CPCE.
 
20. Elle relève néanmoins que, dans le cadre de la présente procédure, la société a indiqué ne plus adresser de courriels aux personnes débutant une souscription sans la finaliser et a inséré sur le formulaire de souscription en ligne une case à cocher accompagnée de la mention suivante : " Veuillez cocher cette case si vous ne souhaitez pas que votre numéro de téléphone soit utilisé par X pour vous aider à finaliser votre souscription et vous proposer ses offres et services ".
 
B. Sur le manquement à l’obligation d’information en application de l’article 14 du RGPD
 
21. Aux termes de l’article 14 du RGPD :
" 1. Lorsque les données à caractère personnel n’ont pas été collectées auprès de la personne concernée, le responsable du traitement fournit à celle-ci toutes les informations suivantes :
a) L’identité et les coordonnées du responsable du traitement et, le cas échéant, du représentant du responsable de traitement ;
b) Le cas échéant, les coordonnées du délégué à la protection des données ;
c) Les finalités du traitement auquel sont destinées les données à caractère personnel ainsi que la base juridique du traitement ;
d) Les catégories de données à caractère personnel concernées ;
e) Le cas échéant, les destinataires ou les catégories de destinataires des données à caractère personnel ;
f) Le cas échéant, le fait que le responsable du traitement a l’intention d’effectuer un transfert de données à caractère personnel à un destinataire dans un pays tiers ou une organisation internationale (…) /
2. En plus des informations visées au paragraphe 1, le responsable du traitement fournit à la personne concernée les informations suivantes nécessaires pour garantir un traitement équitable et transparent à l’égard de la personne concernée (…) /
a) la durée pendant laquelle les données à caractère personnel seront conservées ou, lorsque ce n’est pas possible, les critères utilisés pour déterminer cette durée ;
b) lorsque le traitement est fondé sur l’article 6, paragraphe 1, point f), les intérêts légitimes poursuivis par le responsable du traitement ou par un tiers ;
c) l’existence du droit de demander au responsable du traitement l'accès aux données à caractère personnel, la rectification ou l'effacement de celles-ci, ou une limitation du traitement relatif à la personne concernée, ainsi que du droit de s'opposer au traitement et du droit à la portabilité des données ;
d) lorsque le traitement est fondé sur l'article 6, paragraphe 1, point a), ou sur l'article 9, paragraphe 2, point a), l'existence du droit de retirer le consentement à tout moment, sans porter atteinte à la licéité du traitement fondé sur le consentement effectué avant le retrait de celui-ci ;
e) le droit d’introduire une réclamation auprès d’une autorité de contrôle ;
f) la source d’où proviennent les données à caractère personnel et, le cas échéant, une mention indiquant qu’elles sont issues ou non de sources accessibles au public (…) "
 
Aux termes de l’article 14, paragraphe 3 :
 
 " Le responsable du traitement fournit les informations visées aux paragraphes 1 et 2 : 
a) dans un délai raisonnable après avoir obtenu les données à caractère personnel, mais ne dépassant pas un mois, eu égard aux circonstances particulières dans lesquelles les données à caractère personnel sont traitées ;
b) si les données à caractère personnel doivent être utilisées aux fins de la communication avec la personne concernée, au plus tard au moment de la première communication à ladite personne (…) ".
22. Le rapporteur relève que, dans le cadre du contrôle, la société a fourni à la délégation de la CNIL un échantillon composé de quatre-vingt-quatre enregistrements d’appels téléphoniques passés par trois conseillers le 20 octobre 2020. Ces appels ont été effectués dans le cadre de campagnes de prospection réalisées à partir de données collectées par la société auprès de ses partenaires fournisseurs de données de prospects. 
 
23. Le rapporteur relève que l’écoute de cet échantillon a permis de constater l’absence d’information fournie aux personnes démarchées téléphoniquement ou le caractère incomplet de cette information. En effet, il ressort de ces enregistrements que, dans certains cas, les personnes contactées n’ont bénéficié d’aucune information relative à la protection de leurs données au cours de l’appel. Dans d’autres cas, l’information fournie était incomplète, certaines mentions précitées prévues à l’article 14 du RGPD n’étant pas portées à la connaissance des personnes contactées. Enfin, la société n’offrait aucune possibilité aux personnes contactées d’accéder à une information plus complète, par exemple via l’activation d’une touche sur leur clavier téléphonique.