AgentPublic/cnil huggingface dataset:
102. Aux termes du premier alinéa du II de l’article R. 10-4, "l'usage des listes obtenues par application du quatrième alinéa de l'article L. 34 à d'autres fins que la fourniture d'annuaires universels ou de services universels de renseignements téléphoniques est interdit. Sauf stipulations contractuelles contraires, toute vente des listes obtenues par application du quatrième alinéa de l'article L. 34 est interdite.
103. Enfin, dans son avis n° 2002-145 du 21 février 2002 sur le projet de décret relatif à l'annuaire universel et modifiant le code des postes et télécommunications, l’Autorité de régulation des télécommunications (devenue l'Autorité de régulation des communications électroniques, des postes et de la distribution de la presse, ci-après "ARCEP ") a mis en évidence l’existence de "deux marchés, avec des régimes de cession des listes différents :
- d'une part, un marché réglementé qui est celui des cessions à des fins de services d'annuaires et de renseignements universels, à des conditions techniques et financières régies par le droit spécifique des télécommunications, les litiges relatifs aux conditions de cession relevant de la compétence de l'Autorité ;
- d'autre part, un marché libre qui est celui des cessions à d'autres fins, et notamment à des fins de prospection commerciale selon des conditions relevant du droit commun et du droit de la concurrence, les litiges relevant du juge de droit commun ou du Conseil de la concurrence.
De ces dispositions, il résulte également que les opérateurs de télécommunications ou leurs distributeurs demeurent en pratique la seule source pour le marché des données utilisées à des fins de prospection commerciale, sauf dispositions contractuelles contraires entre eux et les fournisseurs de services d'annuaires ou de renseignements universels.
A titre d'exemple, France Télécom, en tant qu'opérateur, pourra céder librement les données concernant ses propres abonnés mais, en tant que prestataire d'un service d'annuaires et de renseignements universels, elle ne pourra céder la liste complète des abonnés qu'elle a constituée dans ce cadre, sans avoir l'accord de tous les opérateurs qui lui ont apporté leur liste .
104. Le rapporteur considère que, pour transmettre les données issues de sa base […] à ses clients, afin que ceux-ci les utilisent pour réaliser des opérations de prospection commerciale par voie postale ou par téléphone, la société ne peut en l’espèce se prévaloir d’aucune base légale valable au regard des modalités de mise en œuvre de son traitement. S’il note qu’un traitement de transmission des données à des fins de prospection commerciale non électronique est susceptible d’être fondé sur les intérêts légitimes de la société, en application de l’article 6, paragraphe 1, f) du RGPD et tel que rappelé par le référentiel susvisé, il estime que dans la mesure où cette transmission est effectuée sans être portée à la connaissance des personnes concernées – et qu’elles ne sont donc pas mises en mesure d’exercer leurs droits dans ce contexte –, les intérêts et droits fondamentaux des personnes concernées ne sont pas suffisamment préservés et doivent prévaloir sur les intérêts poursuivis par la société.
105. En défense, la société estime au contraire que les conditions lui permettant de se prévaloir de la base légale de l’intérêt légitime sont réunies.
106. La société indique d’une part que la très grande majorité des données transmises à ses partenaires provient de la société [X4], laquelle est soumise au régime légal applicable aux opérateurs de télécommunications, notamment en termes d’information et de droit d’opposition. Elle rappelle à cet égard que les personnes concernées ont la possibilité, à tout moment, de s’inscrire sur les listes anti-prospection telles que les listes rouge, anti-prospection (anciennement liste [X4]), chamois ou robinson. Ainsi, elle relève que les données qui lui sont transmises par la société [X4], et qu’elle retransmet à ses clients annonceurs (après avoir procédé elle-même à de nouvelles vérifications par l’intermédiaire du service Bloctel), ne concernent jamais des personnes s’étant opposées à recevoir de la prospection commerciale.
107. D’autre part, la société précise qu’il peut également arriver que ses partenaires primo-collectants, tels que les sociétés [X1] ou [X2], lui transmettent des numéros de téléphone fixe et des adresses postales. Dans cette hypothèse, les données sont "fiabilisées "à partir des données transmises par la société [X4] et la société SOMS considère dès lors que les données transmises sont, in fine, celles provenant de la société [X4]. La société a également indiqué que, de manière accessoire, elle peut être amenée à transmettre à ses clients des numéros de téléphone mobiles collectés par ses partenaires, dans le but exclusif de réaliser des opérations de prospection par téléphone (et non par SMS). Dans ce cadre uniquement, elle peut être amenée à transmettre directement les données collectées par des sociétés telles que [X1] ou [X2]. La société considère que, comme pour les numéros de téléphone fixe et les adresses postales, les intérêts des personnes concernées sont préservés dans la mesure où celles-ci ont consenti à recevoir de la prospection commerciale, y compris par téléphone, et ont été informées à travers la politique de protection des données du primo-collectant, ainsi qu’à travers celle de la société SOMS.
108. La société rappelle que, même si elle n’est pas en lien direct avec les personnes concernées, elle met elle-même en œuvre certaines mesures permettant d’assurer la prise en compte des droits des personnes, telles que la déduplication des bases transmises par ses partenaires avec sa propre base de données repoussoir (permettant de s’assurer que les personnes s’étant précédemment opposées à recevoir de la prospection commerciale ne se retrouvent pas de nouveau inscrites dans la base […]), la réalisation de vérifications auprès du service Bloctel ou encore l’encadrement contractuel de l’utilisation des fichiers transmis.
109. La société relève par ailleurs que les articles 13 et 14 du RGPD imposent seulement au responsable de traitement de fournir une information sur les catégories de destinataires, mais n’exigent pas, en revanche, que les personnes soient informées de chaque transmission secondaire, ni que leur soit révélée l’identité précise de ces destinataires ultérieurs (a fortiori lorsque ceux-ci ne sont pas encore connus). Elle considère que la notion d’"attentes raisonnables "ne peut être utilisée pour étendre artificiellement le périmètre des obligations d’information prévues par le RGPD.
110. La formation restreinte relève que, dans le cadre de son offre "ListConnect , la société transmet des données issues de sa base […] à ses clients, afin que ceux-ci réalisent des opérations de prospection par voie postale ou par téléphone. La société a précisé que les données ainsi transmises (coordonnées postales et téléphoniques des personnes concernées) provenaient, dans leur grande majorité, de la société [X4], mais également, pour certaines, de fournisseurs de données tels que les sociétés [X1], […] ou encore […]. Sur les dix premiers mois de l’année 2022, la société a transféré plus d’1,2 million de numéros de téléphone fixe et plus de 125 000 adresses postales à ses clients.
111. Il apparait ainsi que les données des personnes concernées font l’objet de transmissions successives et sont traitées, in fine, par trois organismes différents : premièrement, les fournisseurs initiaux des données, à savoir les opérateurs téléphoniques (dont la société [X4]) ou d’autres partenaires de la société tels que [X1], qui les transmettent à la société SOMS (premier niveau de transmission) ; deuxièmement, la société SOMS, destinataire des données, qui les enregistre dans sa base, les met à jour le cas échéant (en vérifiant notamment que les personnes concernées ne sont pas inscrites sur les listes anti-prospection ou qu’elles ne se sont pas précédemment opposées à de telles opérations de prospection auprès de la société SOMS) et les transmet à son tour, en fonction du segment demandé, à ses clients annonceurs (deuxième niveau de transmission) ; troisièmement, les clients de la société SOMS, qui reçoivent les données et les utilisent pour réaliser des opérations de prospection commerciale par voie postale ou par téléphone. La société ayant indiqué fonder cette transmission sur son intérêt légitime, en application de l’article 6, paragraphe 1, f) du RGPD, il convient de vérifier si les conditions lui permettant de se prévaloir d’une telle base légale sont réunies.
112. S’agissant des deux premières conditions énoncées par la CJUE, la formation restreinte considère que l’intérêt poursuivi peut être qualifié de légitime, en ce qu’il présente une nature commerciale et qu’il est consubstantiel du modèle économique de la société, et que les données collectées aux fins de ces intérêts peuvent apparaitre nécessaires. Il est par ailleurs admis depuis longtemps que des bases de données de prospects puissent être transmises entre acteurs économiques, sur la base légale du consentement ou de l’intérêt légitime, si les règles relatives au type de prospection en cause et à la protection des données sont respectées, de façon à ce que les personnes gardent la maîtrise de leurs données personnelles.
113. S’agissant de la troisième condition, il convient d’examiner si, en l’espèce, les intérêts ou les libertés et les droits fondamentaux des personnes concernées doivent prévaloir sur l’intérêt légi-time de la société. La formation restreinte rappelle que, pour apprécier cette condition, il y a no-tamment lieu d’examiner si ces personnes pouvaient raisonnablement s’attendre à un tel traite-ment.
114. Pour l’examen de cette troisième condition, la formation restreinte estime que, conformément à ce qu’a indiqué la société SOLOCAL, il convient de faire la distinction entre les données provenant de la société [X4] et les données provenant des autres primo-collectants.
115. Premièrement, s’agissant des données provenant de la société [X4], la formation restreinte considère que le statut d’opérateur téléphonique et d’éditeur d’annuaire de cette dernière et l’encadrement juridique dont les listes d’annuaire font l’objet doivent être pris en considération.
116. La formation restreinte relève tout d’abord qu’il résulte des dispositions citées ci-dessus que les données transmises par [X4] - lesquelles comprennent, associés à des identités d’abonnés, des numéros de téléphone et des adresses postales - sont également, par défaut, mises à disposition de tout éditeur d’annuaire ou service de renseignement et publiées dans les annuaires. Ainsi, les personnes physiques dont les données sont traitées ne peuvent que s’attendre à ce que ces données soient utilisées par des tiers, dans certaines limites.
117. Ensuite, la formation restreinte relève qu’en l’espèce, le contrat conclu entre la société [X4] et la société SOMS prévoit que " [X4] met à la disposition du bénéficiaire [la société PAGES JAUNES MARKETING SERVICES, devenue la société SOMS] le droit […] d’utiliser les Données Annuaire afin de lui permettre de rendre à ses "Clients "son "Service "..
118. La formation restreinte considère que ces seuls éléments ne lui permettent pas de déterminer si les données transmises par la société [X4] à la société SOMS sont exclusivement celles concernant ses propres abonnés – auquel cas la société [X4] peut librement transmettre ces données à ses partenaires commerciaux –, ou s’il s’agit des données dont elle dispose en sa qualité d’annuairiste (et qui ont donc été collectées par ses soins mais également par d’autres opérateurs). Il y a lieu de rappeler que dans cette seconde hypothèse, si l’article R.10-4, II du CPCE interdit par principe toute vente des listes obtenues en application de l’article L. 34 à d’autres fins que la fourniture d’annuaires ou de services de renseignements, il prévoit également la possibilité de déroger à cette interdiction par le biais de stipulations contractuelles. La société [X4] ne pourrait alors transmettre ces listes à la société SOMS que sous réserve d’avoir obtenu l’accord de tous les opérateurs ayant procédé à la collecte initiale des données. La formation restreinte estime que dans la mesure où la présente procédure n’est pas dirigée à l’encontre de la société [X4], et en l’absence d’éléments permettant de considérer que cette dernière ne respecterait pas les dispositions du CPCE, il doit être considéré que les conditions lui permettant de transmettre les données concernées à la société SOMS, de manière licite, étaient réunies.
119. La formation restreinte relève qu’en tout état de cause, les personnes concernées ont la possibilité de s’opposer ab initio à la publication de leurs données dans les annuaires ou à leur utilisation à des fins de prospection auprès de leur opérateur, en application de l’article L. 34 du CPCE (par l’intermédiaire de leur inscription sur les listes "rouge "ou "anti-prospection "). En effet, ces dispositions prévoient que les personnes concernées peuvent "interdire que les informations nominatives [les] concernant soient utilisées dans des opérations commerciales , opérations que l’article R. 10 du code des postes et communications électroniques a précisé pouvoir être "des opérations de prospection directe soit par voie postale, soit par voie de communications électroniques, sans préjudice des dispositions de l'article L. 34-5 . A cet égard, la formation restreinte relève que le contrat conclu entre la société [X4] et la société SOMS précise que la base de données transmise est expurgée des "listes Rouge, [X4] (devenue liste anti-prospection) et Chamois .
120. Il en résulte que, s’agissant des personnes n’ayant pas fait opposition à la publication ou, spécifiquement, à la prospection, les coordonnées postales ou téléphoniques des annuaires peuvent être utilisées pour de la prospection postale ou de la prospection téléphonique qui ne relève pas de l’article L. 34-5 du même code (SMS et automates d’appel en l’espèce). Cette utilisation doit se faire dans le respect du RGPD mais correspond aux attentes raisonnables des personnes n’ayant pas fait opposition.
121. Dès lors, pour ces trois motifs, la formation restreinte estime que l’utilisation des coordonnées publiées dans les annuaires par des sociétés réalisant de opérations de prospection entre dans les attentes raisonnables des personnes concernées, lesquelles ont la possibilité de s’y opposer, et que la société [X4] pouvait ainsi, sur le fondement de son intérêt légitime au sens de l’article 6 du RGPD, communiquer à ses partenaires commerciaux, contre rémunération et à la condition que les dispositions du CPCE soient respectées, une liste structurée des coordonnées des abonnés ne s’étant pas opposés à être démarchés en application de l’article L. 34 du CPCE, à des fins de prospection postale et téléphonique (hors SMS et automates d’appel). De même, ces partenaires peuvent se prévaloir de leur intérêt légitime, sous réserve d’un examen particulier de chaque situation, pour retransmettre les données à une autre société de prospection.
122. Il résulte de l’ensemble de ce qui précède que le grief tenant à ce que la transmission par la société SOMS de données provenant de la société [X4] à ses clients, en vue d’un usage de prospection postale et téléphoniques (hors SMS et automates d’appel) serait dépourvue de base légale n’est pas fondé.
123. La formation restreinte rappelle néanmoins que les transmissions, qui constituent un traitement de données à caractère personnel au sens de l’article 4 du RGPD, doivent respecter l’ensemble des dispositions du RGPD, en particulier en matière d’information et de droit d’opposition. S’agissant du droit d’opposition, les personnes concernées disposent de la possibilité de s’opposer ab initio à la publication ou à l’utilisation de leurs données à des fins de prospection auprès de leur opérateur (par l’intermédiaire de leur inscription sur les listes "rouge "ou "anti-prospection "), opposition qui fait alors obstacle à ce que l’opérateur téléphonique ou l’éditeur d’annuaire, transmettent les données à des partenaires commerciaux à des fins de prospection ; elles peuvent également, de manière plus générale et à tout moment, faire part de leur souhait de ne pas être démarchées à travers leur inscription à des services tels que Bloctel (service public destiné à assurer la bonne diffusion des abonnés s’opposant à la prospection par téléphone) ou la liste Robinson (service mis en place par la FEVAD pour la bonne prise en compte des oppositions à la prospection postale). Ces dispositifs sont mis en place sans préjudice d’autres formes d’opposition sur le fondement du RGPD.
124. S’agissant de l’information, il est nécessaire d’informer suffisamment les personnes concernées sur les catégories de destinataires des données. La formation restreinte estime en particulier que si, comme en l’espèce, les données font l’objet de transmissions successives, à des destinataires de premier rang (tels la société SOMS) puis de second rang (tels les clients de la société SOMS), les personnes concernées doivent être informées de l’existence de ces destinataires de "second rang , soit par l’opérateur téléphonique, soit par les destinataires.
125. La formation restreinte relève que le rapporteur fondait son argumentation sur un défaut d’information des personnes concernées. Les éléments du dossier ne permettent, en effet, pas d’établir que l’information aurait été ou non correctement effectuée. Cependant, le grief portant sur le défaut de base légale, il y a lieu de le rejeter, sans que ce rejet ne puisse être compris comme validant les conditions d’information des personnes sur ces transmissions successives de leurs données, que la formation restreinte invite le mis en cause à réexaminer.
126. Deuxièmement, s’agissant des numéros de téléphone mobile collectés par des sociétés telles que [X1] ou [X2] par l’intermédiaire de jeux-concours (et transmis par la société SOMS à ses clients annonceurs afin que ces derniers les utilisent exclusivement pour de la prospection par téléphone, et non par SMS), la formation restreinte rappelle qu’ainsi qu’il a été démontré supra, le consentement recueilli par l’intermédiaire des formulaires mis en œuvre par ces primo-collectants ne peut être considéré comme valable.
127. Elle relève par ailleurs que, si les personnes étaient bien informées par le biais de ces formulaires de la transmission de leurs données à la société SOMS, aucune information ne leur était en revanche délivrée quant à une éventuelle retransmission desdites données par la société SOMS à d’autres organismes, à laquelle elles ne pouvaient donc raisonnablement s’attendre. La formation restreinte ne conteste pas que l’information à fournir puisse se limiter à des catégories de destinataires lorsqu’il n’est pas possible de faire autrement mais elle estime néanmoins indispensable que l’information fournie permette aux personnes d’apprécier les conséquences de leur choix quant à cette transmission, en les informant de l’étendue de celle-ci, ce qui n’apparait pas être le cas en l’espèce. La formation restreinte estime ainsi que l’intérêt légitime de la société SOMS n’est pas mobilisable.
128. Dès lors, la transmission de ces données aux clients de la société SOMS ne peut s’appuyer ni sur un consentement des personnes, ni sur l’intérêt légitime de SOMS. Elle est effectivement dépourvue de base légale.
129. En conclusion, la formation restreinte estime qu’un manquement à l’article 6 du RGPD est constitué s’agissant exclusivement des données collectées par l’intermédiaire de jeux-concours en ligne et que la société SOMS transmet à ses clients annonceurs afin que ces derniers réalisent des opérations de prospection par voie postale ou par téléphone (hors SMS et automates d’appel). La formation restreinte relève le caractère résiduel des données concernées (78 172 numéros de téléphone mobile ayant été transmis en 2022, sur un volume total de 840 293 numéros de téléphone fixe et adresses postales).
III. SUR LES MESURES CORRECTRICES ET LEUR PUBLICITÉ
130. Aux termes de l’article 20-IV de la loi n° 78-17 du 6 janvier 1978 modifiée, "lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l'informatique et des libertés peut […] saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l'une ou de plusieurs des mesures suivantes : […]
2° Une injonction de mettre en conformité le traitement avec les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi ou de satisfaire aux demandes présentées par la personne concernée en vue d’exercer ses droits, qui peut être assortie, sauf dans les cas où le traitement est mis en œuvre par l’Etat, d’une astreinte dont le montant ne peut excéder 100 000 euros par jour de retard à compter de la date fixée par la formation restreinte ;
7° À l'exception des cas où le traitement est mis en œuvre par l'État, une amende administrative ne pouvant excéder 10 millions d'euros ou, s'agissant d'une entreprise, 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l'article 83 du règlement (UE) 2016/679 du 27 avril 2016, ces plafonds sont portés, respectivement, à 20 millions d'euros et 4 % dudit chiffre d'affaires. La formation restreinte prend en compte, dans la détermination du montant de l'amende, les critères précisés au même article 83 .
131. L’article 83 du RGPD prévoit en outre que "chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour des violations du présent règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives , avant de préciser les éléments devant être pris en compte pour décider s'il y a lieu d’imposer une amende administrative et pour décider du montant de cette amende.
132. Enfin, l’article 22, alinéa 2 de la loi Informatique et Libertés dispose que "la formation restreinte peut rendre publique les mesures qu’elle prend .
A. Sur le prononcé d’une amende administrative et son montant 
133. Le rapporteur propose à la formation restreinte de prononcer à l’encontre de la société une amende administrative au regard des manquements constitués aux articles L. 34-5 du CPCE et 6 et 7 du RGPD.
134. En défense, la société demande à la formation restreinte de ne pas prononcer d’amende ou, à défaut, de réduire drastiquement le montant proposé par le rapporteur.
135. Elle estime en effet qu’à considérer les manquements établis, ces derniers ne présentent aucun caractère de gravité. Elle considère que le rapporteur n’a pas pris en considération l’ensemble des critères prévus à l’article 83, paragraphe 2 du RGPD, et relève notamment que les traitements visés ne revêtent aucune sensibilité particulière, qu’ils sont mis en œuvre uniquement à l’échelle nationale et que les personnes concernées n’ont subi aucun dommage. Elle considère n’avoir commis aucune négligence et s’être montrée suffisamment diligente, mettant en lumière les mesures prises avant et après le contrôle ainsi que sa pleine coopération avec les services de la CNIL. Elle souligne n’avoir jamais été condamnée pour manquement à ses obligations relatives au consentement ou à la transmission des données et indique avoir collaboré pleinement avec la CNIL.