AgentPublic/cnil huggingface dataset:
61. D’autre part, la formation restreinte relève qu’un contrôle en ligne réalisé le 17 octobre 2023 a permis de révéler que, compte tenu de sa configuration, le formulaire visé au paragraphe précédent ne permettait matériellement pas à l’utilisateur de participer au jeu sans accepter la transmission de ses données aux partenaires de la société, et donc sans être destinataire de prospection commerciale, contrairement à ce qui est indiqué sur le formulaire.
62. La formation restreinte considère ainsi que les formulaires susvisés n’éclairent pas suffisamment les personnes concernées sur le fait qu’elles consentent à la transmission de leurs données à des fins de prospection commerciale, dans un contexte où l’objet même de ces sites web est d’offrir une perspective de gains ne pouvant laisser supposer l’objectif de collecte pérenne de ces données à de telles fins. Ces personnes ne sont pas mises en mesure de manifester leur consentement par un acte positif clair et dénué d’ambigüité.
63. La formation restreinte considère, dans ces conditions, que la société X ne dispose pas, pour réaliser ses opérations de prospection commerciale par voie électronique, d’un consentement valide au sens des articles L.34-5 du CPCE et 4 du RGPD.
64. Un manquement à l’article L.34-5 du CPCE est ainsi caractérisé.
D. Sur le manquement à l’obligation de traiter les données de manière licite
65. Aux termes de l’article 6 du RGPD, " 1. Le traitement n'est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie :
a) la personne concernée a consenti au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques ;
b) le traitement est nécessaire à l'exécution d'un contrat auquel la personne concernée est partie ou à l'exécution de mesures précontractuelles prises à la demande de celle-ci ;
c) le traitement est nécessaire au respect d'une obligation légale à laquelle le responsable du traitement est soumis ;
d) le traitement est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d'une autre personne physique ;
e) le traitement est nécessaire à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement ;
f) le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent une protection des données à caractère personnel, notamment lorsque la personne concernée est un enfant ".
66. La formation restreinte rappelle que les actions de prospection commerciale par appels téléphoniques peuvent être réalisées sur la base légale de l’intérêt légitime de la société (f) ou sur celle du consentement (a).
67. En l’espèce, la société a indiqué réaliser des opérations de prospection commerciale par téléphone, à partir de fichiers de prospects achetés auprès de plusieurs fournisseurs de données.
68. La formation restreinte relève que la société n’a pas été en mesure, ni dans ses observations écrites, ni dans ses observations orales lors de la séance, d’indiquer précisément sur quelle base légale elle se fondait pour procéder à de tels traitements. Dans ces conditions, les deux bases légales susceptibles d’être applicables en l’espèce seront examinées successivement.
1) Sur l’intérêt légitime
69. La rapporteure soutient que, pour fonder ses opérations de prospection commerciale par téléphone, la société ne peut se prévaloir de la base légale de l’intérêt légitime visée au point f) de l’article 6, paragraphe 1 du RGPD. Elle relève ainsi, s’agissant des formulaires de participation à des jeux-concours en ligne par l’intermédiaire desquels la société […] collecte les données des prospects qu’elle revend à la société X, que cette dernière n’est pas systématiquement mentionnée dans la liste des partenaires susceptibles de démarcher les personnes concernées, et qu’ainsi ces dernières ne peuvent légitimement s’attendre à recevoir des offres commerciales de cette société.
70. En défense, la société se prévaut des engagements contractuels de la société […], qui prévoient que la société X doit être mentionnée parmi les destinataires des données collectées. Elle considère qu’elle ne saurait être tenue pour responsable des manquements de son prestataire, et produit un exemple de formulaire mis en œuvre par la société […] contenant un lien URL renvoyant à une liste des partenaires, parmi lesquels figure la société […] (un lien vers la politique de confidentialité de cette dernière permettant d’accéder à la liste complète des sociétés faisant partie du même groupe que […], dont la société X). Enfin, la société affirme mettre en œuvre des contrôles réguliers relatifs à la conformité des fichiers livrés.
71. La formation restreinte rappelle que, si la prospection commerciale par voie non électronique peut être réalisée sur la base de l’intérêt légitime de la société, cette dernière doit s’assurer que le traitement ne heurte pas les droits et intérêts des personnes dont les données sont traitées, compte tenu de leurs attentes raisonnables.
72. A cet égard, le considérant 47 du RGPD dispose que : " […] l’existence d’un intérêt légitime devrait faire l’objet d’une évaluation attentive, notamment afin de déterminer si une personne concernée peut raisonnablement s’attendre, au moment et dans le cadre de la collecte des données à caractère personnel, à ce que celles-ci fassent l’objet d’un traitement à une fin donnée. Les intérêts et les droits fondamentaux de la personne pourraient, en particulier, prévaloir sur l’intérêt du responsable du traitement lorsque des données à caractère personnel sont traitées dans des circonstances où les personnes concernées ne s’attendent raisonnablement pas à un traitement ultérieur […]. ".
73. En l’espèce, la formation restreinte relève que certains formulaires de jeu-concours à partir desquels la société […] collecte des données de prospects qu’elle transmet à la société X ne permettent pas aux personnes concernées de s’attendre raisonnablement à recevoir des offres de prospection commerciale de la part de cette société.
74. Ainsi, s’agissant du formulaire accessible depuis le site web […], la formation restreinte observe que ce dernier contient un lien hypertexte renvoyant à une liste nominative de partenaires et non à des catégories de partenaires. Ainsi, les personnes concernées peuvent légitimement s’attendre à ce que cette liste de partenaires soit exhaustive. Or, ladite liste ne mentionne pas la société X.
75. Concernant les formulaires présents sur les sites […] (ce formulaire renvoyant au site www.[...]) et […], la formation restreinte relève qu’ils ne mentionnent pas la liste des partenaires ou des catégories de partenaires auxquels les données sont susceptibles d’être transmises, et qu’ils ne contiennent en outre aucun lien permettant d’accéder à une telle liste.
76. Au demeurant, s’agissant des vérifications que la société affirme réaliser sur les formulaires à partir desquels les données sont collectées, la formation restreinte relève qu’elle ne produit aucun élément permettant d’en attester, les engagements contractuels de ses fournisseurs ne constituant pas une mesure de contrôle en tant que telle.
77. La formation restreinte considère que dans ces conditions, la protection des intérêts, libertés et droits fondamentaux des personnes concernées prime sur les intérêts légitimes de la société, et que cette dernière ne peut dès lors se prévaloir de la base légale mentionnée à l’article 6, paragraphe 1, f) pour fonder ses opérations de prospection commerciale par téléphone.
2) Sur le consentement
78. La rapporteure considère que, pour fonder ses opérations de prospection commerciale par téléphone, la société ne peut se prévaloir de la base légale du consentement visée au point a) de l’article 6, paragraphe 1, du RGPD. Elle se fonde sur les mêmes arguments que ceux développés concernant le manquement à l’article L.34-5 du RGPD, s’agissant des formulaires de collecte mis en œuvre par les fournisseurs de données.
79. En défense, la société se prévaut des termes du contrat passé avec la société […]. Elle prend note des constats matérialisés mais indique que, si les manquements existent, ils ne sont représentatifs ni d’une volonté de méconnaître ses obligations, ni de pratiques généralisées. Elle fournit à cet égard deux exemples de formulaires de collecte mis en œuvre par ses fournisseurs, qu’elle estime conformes. Enfin, elle fait état de contrôles réalisés sur les fichiers à la suite de leur mise à disposition par le prestataire et insiste sur l’impossibilité, compte tenu de la volumétrie de ces fichiers, de mettre en œuvre un contrôle unitaire.
80. En premier lieu, la formation restreinte rappelle que, si le caractère intentionnel de la violation doit être pris en compte pour décider s’il y a lieu de prononcer une amende et pour décider de son montant, il est sans incidence sur la caractérisation du manquement, ce dernier pouvant résulter d’une négligence. Il en va de même du caractère généralisé ou non dudit manquement.
81. En deuxième lieu, s’agissant des modalités de recueil du consentement à la prospection téléphonique, la formation restreinte considère que les formulaires mis en œuvre par les fournisseurs de la société X ne permettent pas de recueillir un consentement valide, au sens de l’article 6, paragraphe 1, point a) du RGPD, comme développé aux points 47 à 63 de la présente délibération s’agissant de la prospection électronique.
82. En troisième et dernier lieu, s’agissant des contrôles que la société affirme réaliser sur les fichiers livrés, la formation restreinte observe que la société ne produit aucun élément permettant d’en attester.
83. D’une part, dans ses observations écrites du 29 septembre 2023, puis dans ses observations orales lors de la séance du 7 décembre 2023, la société a évoqué une pièce intitulée " leads_701_23-09-2021 […] ", recueillie lors du contrôle sur place et faisant état, selon elle, de " contrôles des fichiers de prospection réalisés à la suite de leur mise à disposition par le prestataire ". Par délibération n° SAN-2023-019 du 14 décembre 2023, la formation restreinte a sollicité de la rapporteure et de la société la production de cette pièce.
84. La formation restreinte relève que le fichier produit par la rapporteure, dont l’empreinte numérique atteste qu’il s’agit bien du fichier à partir duquel les constats ont été réalisés par la délégation lors du contrôle, ne contient aucun élément de nature à attester des vérifications dont se prévaut la société. Conformément à ce qui est mentionné sur le procès-verbal de contrôle, il s’agit d’un fichier de prospects (" leads ") livré par la société […] au groupe XY le 23 septembre 2021, contenant les données d’environ 15 000 prospects. Si, pour chacun de ces prospects, un lien URL devant permettre d’accéder à la source des données est présent, la formation restreinte relève qu’aucune mention ne fait état de vérifications qui auraient pu être réalisées par la société X ou le groupe XY. Lors de la séance du 18 janvier 2024, la société a indiqué ne pas remettre en cause l’intégrité de cette pièce.
85. S’agissant du fichier produit par la société, la formation restreinte relève qu’il ne correspond pas à celui recueilli lors du contrôle, dans la mesure où son empreinte numérique et sa taille diffèrent. Elle relève en outre que cette différence est confirmée par son contenu puisque, contrairement aux constatations figurant au procès-verbal du 23 septembre 2021, il ne contient aucune donnée de prospects mais seulement des liens URL assortis de commentaires (" ok ", " une seule case à cocher ", " litigieux ").
86. Enfin, la formation restreinte observe que le contenu du fichier produit n’apparait pas cohérent avec la finalité invoquée dans la mesure où les commentaires sommaires et non datés qui y figurent ne sont reliés à aucune fiche de prospect et qu’il n’est par ailleurs pas démontré que les non-conformités identifiées auraient fait l’objet de remontées à la société […]. La formation restreinte considère ainsi qu’en tout état de cause, un tel fichier ne permet pas de démontrer l’existence de vérifications réalisées sur les fichiers livrés.
87. D’autre part, s’agissant des autres pièces du dossier, la formation restreinte note qu’elles attestent exclusivement d’exigences imposées par la société X à la société […], préalablement à la reprise de leurs relations contractuelles, sans constituer des contrôles par la société X sur les pratiques ultérieures de son prestataire.
88. La formation restreinte relève enfin que la proportion de fichiers non conformes parmi ceux examinés de manière aléatoire par la délégation (soit quatre fichiers non conformes sur les sept examinés) démontre l’insuffisance des mesures prises par la société pour s’assurer de la validité du consentement des personnes concernées.
89. Ainsi, la formation restreinte estime que les formulaires visés dans la présente délibération ne permettent pas à la société X de disposer d’un consentement valide des personnes concernées. Elle souligne qu’au regard des formulaires produits par la société dans ses observations du 29 septembre 2023, le manquement relevé est persistant.
90. Dès lors, en l’absence de base légale permettant à la société X de fonder ses opérations de prospection commerciale par téléphone, la formation restreinte considère qu’un manquement à l’article 6 du RGPD est constitué.
E. Sur le manquement à l’obligation de transparence et d’information des personnes
91. L’article 14, paragraphe 1, du RGPD dresse la liste des informations devant être communiquées par le responsable de traitement aux personnes concernées lorsque leurs données à caractère personnel n’ont pas été collectées auprès d’elles, parmi lesquelles les finalités du traitement ainsi que sa base juridique.
92. Le paragraphe 2 de ce même article prévoit qu’en " plus des informations visées au paragraphe 1, le responsable du traitement fournit à la personne concernée " certaines informations " nécessaires pour garantir un traitement équitable et transparent à l'égard de la personne concernée ", notamment les droits dont ces dernières disposent, la durée de conservation des données, la source dont elles proviennent ou encore le droit d’introduire une réclamation auprès d’une autorité de contrôle.
93. La rapporteure relève que les personnes faisant l’objet de prospection commerciale par téléphone de la part de la société X (soit environ 1,3 million de prospects français et belges entre mai 2022 et mai 2023) ne sont pas informées de l’ensemble des mentions obligatoires prévues à l’article 14 susmentionné. Elle observe que, si les prospects sont bien informés de l’enregistrement de l’appel ainsi que de leur possibilité de s’opposer à cet enregistrement et de s’inscrire sur Bloctel, l’ensemble des autres informations ne leur sont pas communiquées, les personnes concernées ne se voyant pas non plus offrir la possibilité d’obtenir une information plus complète.
94. La société n’a présenté aucune observation en défense sur ce point.
95. La formation restreinte rappelle que, dans la mesure où la société a indiqué effectuer de la prospection commerciale par téléphone à partir de fichiers transmis par ses partenaires, il s’agit d’un cas de collecte indirecte, pour lequel l’information des personnes doit être assurée dans les conditions définies à l’article 14 du RGPD.
96. Elle relève, à titre d’éclairage, que le CEPD précise, dans ses lignes directrices sur la transparence au sens du règlement (UE) 2016/679, que si une information à plusieurs niveaux est possible pour plus de clarté, il " recommande que le premier niveau (autrement dit, la principale façon de communiquer pour la première fois avec une personne concernée) communique de manière générale les informations les plus importantes […] Par exemple, quand le premier contact avec une personne concernée se fait par téléphone, ces informations pourraient être fournies lors de l’appel téléphonique tandis que les autres informations requises au titre des articles 13 et 14 pourraient être fournies ultérieurement et par d’autres moyens, notamment en envoyant un exemplaire de la politique de confidentialité par e-mail et/ou en envoyant à la personne concernée un lien vers l’avis/la déclaration en ligne du responsable du traitement sur la protection de la vie privée à différents niveaux ". S’agissant de l’obligation d’information dans un environnement téléphonique, il est suggéré de mettre en œuvre des " explications orales fournies par une personne physique permettant une interaction, [des] questions appelant une réponse, ou [des] informations automatisées ou pré-enregistrées proposant l’option d’entendre d’autres informations plus détaillées ".
97. La formation restreinte observe qu’il ressort des enregistrements téléphoniques communiqués par la société que les personnes faisant l’objet de prospection téléphonique sont uniquement informées de l’enregistrement de l’appel et de la possibilité de s’inscrire sur Bloctel, sans qu’aucune autre information ne leur soit communiquée quant au traitement de leurs données à caractère personnel.
98. La formation restreinte relève en outre que ces personnes ne se voient offrir aucune possibilité d’obtenir une information plus complète, par exemple via l’activation d’une touche sur leur clavier téléphonique.
99. Dans ces conditions, la formation restreinte considère que le manquement à l’article 14 du RGPD est constitué.
F. Sur le manquement à l’obligation d’assurer la sécurité des données
100. Aux termes de l’article 32, paragraphe 1 du RGPD, " compte tenu de l’état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque […] " et notamment " des moyens permettant de garantir la confidentialité, l'intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement " et d’une " procédure visant à tester, à analyser et à évaluer régulièrement l’efficacité des mesures techniques et organisationnelles pour assurer la sécurité du traitement ".
101. La rapporteure relève que la société a indiqué conserver les données des clients de ses points de vente en Europe, soit 104 391 personnes en novembre 2021, pendant une durée de cinq ans à compter de la date de clôture du contrat, conformément aux délais légaux de prescription, précisant que ces données étaient conservées en base active, sans qu’aucun mécanisme d’archivage intermédiaire ne soit mis en œuvre. La rapporteure considère que ces modalités de conservation ne permettent pas de limiter l’accès aux données aux utilisateurs ayant besoin d’en connaître, dans la mesure où les personnes ayant intérêt à avoir accès à ces données pendant la durée du contrat continuent, même après la fin de ce dernier, à pouvoir y accéder sans restriction pendant une durée de cinq ans, alors même que leurs fonctions ne leur imposent plus nécessairement d’en connaître.
102. En défense, la société indique que chaque boutique X dispose de sa propre base de données clients, et que les vendeurs ne peuvent donc accéder qu’aux informations des clients de la boutique à laquelle ils sont rattachés. S’agissant des services supports, elle confirme qu’ils ont accès à l’ensemble des données des clients du réseau X. Par ailleurs, elle ne conteste pas qu’à l’issue de la relation contractuelle, aucune limitation d’accès n’intervient, et précise que certains services, notamment le service après-vente, sont gérés par les vendeurs eux-mêmes. Elle souligne enfin, dans le cadre de ses observations orales lors de la séance du 7 décembre 2023, que la société X, bien que créée en 2017, a commencé à déployer ses boutiques à compter de l’année 2021, et qu’aucune donnée n’est donc conservée depuis cinq ans.
103. La formation restreinte rappelle qu’il résulte des dispositions de l’article 32 du RGPD que le responsable de traitement doit mettre en place des mesures appropriées pour assurer la confidentialité des données et éviter que ces dernières soient traitées de façon illicite par des personnes qui n’ont pas besoin d’en connaître (CNIL, FR, 29 octobre 2021, Sanction, n°SAN-2021-019, publié).
104. Ce besoin d’en connaître est susceptible d’évoluer en fonction du cycle de vie des données et des finalités pour lesquelles elles sont conservées. Ainsi, pendant la phase de leur utilisation courante, qui correspond à la durée nécessaire pour accomplir la finalité déterminée, les données sont conservées en " base active " et accessibles à l’ensemble des services chargés de la mise en œuvre du traitement. A l’issue de cette phase, lorsque les données ne sont plus utilisées pour atteindre l’objectif fixé mais qu’elles présentent encore un intérêt administratif pour l’organisme (par exemple pour la gestion d’un éventuel contentieux) ou doivent être conservées pour répondre à une obligation légale, elles doivent pouvoir être consultées uniquement de manière ponctuelle et motivée par des personnes spécifiquement habilitées, participant à l’objectif ayant justifié cette conservation, en faisant l’objet d’un archivage intermédiaire. Cet archivage intermédiaire nécessite d’opérer une séparation avec la base active, qui peut être physique (via un transfert des données au sein d’une base d’archives dédiée), ou logique (via la mise en place de mesures techniques et organisationnelles garantissant que seules les personnes ayant un intérêt à traiter les données en raison de leurs fonctions puissent y accéder).
105. La formation restreinte relève que la société ne conteste pas conserver les données de ses clients à l’issue de la relation contractuelle, sans qu’aucune mesure d’archivage intermédiaire n’intervienne. La formation restreinte rappelle que la cessation des relations contractuelles doit conduire à limiter l’accès aux données à certains salariés en raison de leurs fonctions. Néanmoins, la formation restreinte considère qu’en l’état, les éléments qui figurent au dossier ne permettent pas d’établir que des personnes auraient accès auxdites données sans avoir besoin d’en connaître.
106. Il résulte ce qui précède que le manquement à l’article 32 du RGPD n’est pas constitué.
III. Sur le prononcé de mesures correctrices et la publicité
107. Aux termes de l’article 20 de la loi n° 78-17 du 6 janvier 1978 modifiée : " Lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l'informatique et des libertés peut […] saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l'une ou de plusieurs des mesures suivantes : […] 7° À l'exception des cas où le traitement est mis en œuvre par l'État, une amende administrative ne pouvant excéder 10 millions d'euros ou, s'agissant d'une entreprise, 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l'article 83 du règlement (UE) 2016/679 du 27 avril 2016, ces plafonds sont portés, respectivement, à 20 millions d'euros et 4 % dudit chiffre d'affaires. La formation restreinte prend en compte, dans la détermination du montant de l'amende, les critères précisés au même article 83 ".