AgentPublic/cnil huggingface dataset:
132. Il ressort de l’ensemble de ces éléments que la société COSMOSPACE ne pouvait se prévaloir, pour réaliser ses opérations de prospection commerciale, du consentement recueilli par la société TELEMAQUE pour son compte par le biais du formulaire mis en œuvre sur le site horoscope.fr, au moment du contrôle en ligne du 15 novembre 2021, celui-ci ne permettant pas la manifestation d’un consentement éclairé au sens de l’article 4.11 du RGPD. 
133. La formation restreinte note que, dans le cadre de ses observations écrites du 2 avril 2024, la société a indiqué que le formulaire figurant sur le site horoscope.fr avait été modifié depuis les opérations de contrôle, et avant l’engagement de la procédure de sanction, présentant sa nouvelle version comme conforme aux exigences requises en matière de consentement pour pouvoir mener les opérations de prospection visées à l’article L. 34-5 du CPCE. 
134. Or, la formation restreinte relève que ledit formulaire ne permettait pas davantage aux personnes concernées de manifester leur consentement de manière éclairée.
135. Un contrôle en ligne réalisé le 23 avril 2024 a en effet permis de constater que la case à cocher permettant de recueillir le consentement était accompagnée du texte “ je donne mon consentement exprès(3) pour recevoir des offres de voyance par téléphone, email, SMS ou Whatsapp “. La formation restreinte observe, d’une part, que si la liste des partenaires figurait désormais sur la même page que le formulaire, seul un chiffre accolé au terme “ exprès “, mentionné sous la forme d’un exposant, en très petit caractère et peu lisible, renvoyait à une note de bas de page, située à distance du formulaire (et sur une partie non visible de la page lorsque le formulaire était affiché), dans laquelle figurait ladite liste. La formation restreinte considère que, compte tenu de ces éléments, l’utilisateur pouvait aisément ne pas voir ce chiffre, ne pas y prêter attention ou ne pas s’y attarder et, dès lors, ne pas se référer au contenu de la note. 
136. D’autre part, la formation restreinte relève que, dans cette seconde formulation accompagnant la case à cocher, plus aucune référence à la notion de “ partenaires “, la seule mention “ je donne mon consentement exprès pour recevoir des offres de voyance par téléphone, email, SMS ou Whatsapp “ laissant entendre à l’utilisateur que ces offres émaneraient exclusivement de la société TELEMAQUE.
137. Il apparait dès lors que, pour ces deux formulaires, le consentement recueilli par la société TELEMAQUE n’apparaissait pas suffisamment éclairé pour permettre à la société COSMOSPACE de s’en prévaloir dans le cadre de ses opérations de prospection commerciale par voie électronique. 
138. Dans ces conditions, la formation restreinte considère que, faute pour la société COSMOSPACE de disposer, pour réaliser ses opérations de prospection commerciale par voie électronique, du consentement éclairé des personnes dont les données ont été recueillies par la société TELEMAQUE, un manquement à l’article L. 34-5 du CPCE est constitué. 
139. La formation restreinte relève néanmoins que, depuis les derniers contrôles réalisés, il apparait que la société TELEMAQUE a de nouveau modifié le formulaire visé. Il résulte des derniers éléments communiqués que le texte accompagnant la case à cocher permettant de recueillir le consentement des utilisateurs à l’utilisation de leurs données à des fins de prospection commerciale vise désormais explicitement la société COSMOSPACE (“ je donne mon consentement exprès pour recevoir des offres de voyance par téléphone, email, SMS ou WhatsApp par la société Télémaque et ses partenaires Cosmospace, […], […] et […] “). Si la formation restreinte prend acte de cette mise en conformité, le manquement apparait néanmoins constitué pour le passé. 
III. SUR LE PRONONCÉ DE MESURES CORRECTRICES ET LEUR PUBLICITÉ
140. Aux termes de l’article 20 de la loi n° 78-17 du 6 janvier 1978 modifiée, “ lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l'informatique et des libertés peut […] saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l'une ou de plusieurs des mesures suivantes : […] 7° À l'exception des cas où le traitement est mis en œuvre par l'État, une amende administrative ne pouvant excéder 10 millions d'euros ou, s'agissant d'une entreprise, 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l'article 83 du règlement (UE) 2016/679 du 27 avril 2016, ces plafonds sont portés, respectivement, à 20 millions d'euros et 4 % dudit chiffre d'affaires. La formation restreinte prend en compte, dans la détermination du montant de l'amende, les critères précisés au même article 83 “.
141. L’article 83 du RGPD prévoit en outre que “ chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour des violations du présent règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives “, avant de préciser les éléments devant être pris en compte pour décider s'il y a lieu d’imposer une amende administrative et pour décider du montant de cette amende.
142. La société soutient tout d’abord n’avoir commis aucune négligence, les manquements relevés découlant, selon elle, d’une application et d’une interprétation différentes des textes. Elle considère qu’en tout état de cause, la proposition de sanction est disproportionnée au regard d’autres décisions rendues par la formation restreinte. Elle estime ainsi que doivent être pris en compte certains critères tels que sa situation économique, son niveau de conformité, la longueur de la procédure, l’absence de mise en demeure préalable ainsi que sa coopération totale. Enfin, elle considère que la mesure de publicité proposée est injustifiée, dans la mesure où aucun manquement grave n’a été relevé, qu’aucune plainte n’a été déposée et que, s’il s’agit de créer un précédent dans le secteur de la voyance, la CNIL a déjà rendu une décision le 8 juin 2023.
143. En premier lieu, la formation restreinte rappelle que, si l’imposition d’une amende administrative est conditionnée à l’établissement d’une violation fautive de la part de l’organisme poursuivi, cette faute peut découler d’un comportement délibéré mais également d’une négligence, en application de l’alinéa b) de l’article 83, paragraphe 2 du RGPD (CJUE, Grande Chambre, 5 décembre 2023, Deutsche Wohnen SE e.a., C-807/21 ; CJUE, Grande Chambre, 5 décembre 2023, Nacionalinis visuomenės sveikatos centras prie Sveikatos apsaugos ministerijos e.a., C-683/21).
144. La formation restreinte considère qu’en l’espèce, les manquements commis par la société révèlent une négligence certaine de sa part. En effet, la formation restreinte souligne, d’une part, que les règles rappelées dans la présente délibération font l’objet d’une interprétation constante de la part de la CNIL. A titre d’exemple, si le référentiel relatif aux traitements de données à caractère personnel mis en œuvre aux fins de gestion des activités commerciales a été publié peu de temps après les opérations de contrôle, les recommandations qu’il contient n’apparaissent pas nouvelles, la CNIL ayant déjà adopté, depuis 2005, la norme simplifiée NS-048 (contenant notamment des préconisations sur la durée de conservation des données des clients à des fins de prospection) et, depuis 2014, la norme simplifiée NS-057 (s’agissant des enregistrements des conversations téléphoniques). D’autre part, la formation restreinte relève que la multiplicité des manquements relevés témoigne d’une négligence dans la mise en œuvre des traitements réalisés par la société. 
145. En deuxième lieu, la formation restreinte considère qu’il y a lieu de faire application du critère prévu à l’alinéa a) de l’article 83, paragraphe 2 du RGPD relatif à la nature, à la gravité et à la durée de la violation, compte tenu de la nature, de la portée du traitement et du nombre de personnes concernées.
146. La formation restreinte relève tout d’abord que les manquements aux articles 5-1-c, 5-1-e et 9 du RGPD concernent les principes fondamentaux de la protection des données et sont ainsi susceptibles de faire l’objet d’une amende pouvant s’élever jusqu’à 20 millions d’euros ou 4% du chiffre d’affaires annuel de l’exercice précédent de la société – soit le montant maximal prévu par les textes -, en application de l’article 83, paragraphe 5 du RGPD. A cet égard, les lignes directrices sur le calcul des amendes administratives adoptées par le comité européen de la protection des données rappellent qu’à “ travers cette distinction, le législateur a donné une première indication de la gravité de la violation, de manière abstraite. Plus la violation est grave, plus l’amende est susceptible d’être élevée “ (point 50).
147. La formation restreinte note ensuite que les manquements relevés sont susceptibles de concerner un nombre important de personnes, la base de données commune aux sociétés COSMOSPACE et TELEMAQUE comprenant plus de 1,5 million de contacts uniques ayant le statut de prospect ou de client. En particulier, s’agissant du manquement à l’article L. 34-5 du CPCE, la formation restreinte entend souligner que la société COSMOSPACE a massivement recours à l’envoi de messages de prospection commerciale puisqu’elle a indiqué avoir adressé, au cours des trois premiers trimestres 2022, plus de 85 000 SMS et plus de 7,3 millions de courriels à près de 54 000 personnes (soit un courriel tous les deux jours), dont les coordonnées ont été recueillies par la société TELEMAQUE. 
148. Par ailleurs, la formation restreinte relève que certains des manquements en cause ont pour effet de priver de licéité les traitements effectués. Il en va ainsi du manquement à l’article 9 du RGPD, la collecte des données “ sensibles “ étant, par principe, interdite, ainsi que du manquement à l’article L. 34-5 du CPCE, les opérations de prospection commerciale menées n’étant licites que si le responsable de traitement dispose d’un consentement valide.
149. La formation restreinte souligne en outre que les personnes ayant recours aux prestations de voyance à distance proposées par la société sont susceptibles de se trouver dans une situation de vulnérabilité, pouvant les amener à abaisser leur seuil de vigilance et à communiquer facilement certaines données les concernant, notamment des données sensibles. Dans ces conditions, le respect des exigences relatives au recueil du consentement est primordial. 
150. La formation restreinte entend enfin insister sur le caractère potentiellement très intrusif de certains des traitements en cause, notamment l’enregistrement intégral et systématique des conversations téléphoniques (tant à l’égard des salariés que des clients de la société) et l’envoi de messages de prospection commerciale, dont la fréquence et la multiplicité sont susceptibles d’engendrer une véritable gêne pour les destinataires, pendant une durée particulièrement longue. 
151. En troisième lieu, la formation restreinte entend faire application du critère prévu à l’alinéa g) de l’article 83, paragraphe 2 du RGPD, relatif aux catégories de données à caractère personnel concernées par la violation.
152. A cet égard, si le manquement à l’article 9 du RGPD concerne spécifiquement le recueil de données sensibles, la formation restreinte relève que le manquement à l’article 5, paragraphe 1, c) est également susceptible de porter sur de telles données, dans la mesure où les enregistrements réalisés peuvent potentiellement contenir des informations relatives à l’orientation ou à la vie sexuelle des personnes concernées, à leurs convictions religieuses ou encore à leur santé. 
153. En quatrième lieu, la formation restreinte entend tenir compte du degré de coopération avec l’autorité de contrôle dont la société a fait preuve, en application de l’alinéa f) de l’article 83, paragraphe 2 du RGPD. Il apparait en effet que, à la suite de la réception des observations en réponse de la rapporteure, la société s’est mise en conformité s’agissant du manquement à l’article L. 34-5 du CPCE.
154. La formation restreinte considère que l’ensemble de ces éléments justifient le prononcé d’une amende administrative. 
155. S’agissant du montant de l’amende, la formation restreinte rappelle que les violations relevées sont susceptibles de faire l’objet, en vertu de l’article 83 du RGPD, d’une amende administrative pouvant s’élever jusqu’à 20 millions d’euros ou jusqu’à 4 % du chiffre d’affaires annuel mondial de l’exercice précédent, le montant le plus élevé étant retenu.
156. Elle considère que l’activité de la société et sa situation financière doivent notamment être prises en compte. Elle relève à cet égard que la société COSMOSPACE a réalisé, au titre de l’année 2021/2022, un chiffre d’affaires d’environ 26,4 millions d’euros, pour un bénéfice de plus 0,5 million d’euros. L’année suivante, ce chiffre d’affaires s’est élevé à 26,6 millions d’euros, pour un résultat net déficitaire de 1,46 million d’euros. 
157. Au regard de la responsabilité de la société, de ses capacités financières et des critères pertinents de l’article 83, paragraphe 2 du RGPD évoqués ci-avant, la formation restreinte estime qu’une amende de deux cent cinquante mille (250 000) euros apparaît justifiée.
158. S’agissant de la publicité de la sanction, la formation restreinte considère que celle-ci se justifie au regard de la gravité de certains des manquements en cause, de la position de la société sur le marché, de la portée des traitements et du nombre de personnes concernées.
159. Elle relève également que cette mesure a notamment vocation à informer les personnes concernées par les traitements mis en œuvre par la société, qu’il s’agisse des prospects ou des clients. Cette information leur permettra, le cas échéant, de faire valoir leurs droits.
160. Enfin, elle estime que cette mesure est proportionnée dès lors que la décision n’identifiera plus nommément la société à l’expiration d’un délai de deux ans à compter de sa publication. 
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide de : 
• prononcer une amende administrative à l’encontre de la société COSMOSPACE d’un montant de deux cent cinquante mille (250 000) euros pour manquements aux articles 5-1-c), 5-1-e), 9 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 et L.34-5 du code des postes et communications électroniques, qui se décompose comme suit : 
 deux cent mille (200 000) euros pour manquement aux articles 5-1-c), 5-1-e) et 9 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ; 
 cinquante mille (50 000) euros pour manquement à l’article L.34-5 du code des postes et des communications électroniques ;
• rendre publique, sur le site web de la CNIL et sur le site web de Légifrance, sa délibération, qui ne permettra plus d’identifier nommément la société à l’issue d’une durée de deux ans à compter de sa publication.
Le président
Philippe-Pierre CABOURDIN
Cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’État dans un délai de deux mois à compter de sa notification.
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Philippe-Pierre CABOURDIN, président, M. Vincent LESCLOUS, vice-président, Mmes Laurence FRANCESCHINI et Isabelle LATOURNARIE-WILLEMS et M. Alain DRU, membres ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code des postes et des communications électroniques ;
Vu la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;
Vu le décret no 2019-536 du 29 mai 2019 pris pour l'application de la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la décision n° 2021-270C du 4 octobre 2021 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements mis en œuvre par les sociétés COSMOSPACE et TELEMAQUE ou pour leur compte, en tout lieu susceptible d’être concerné par leur mise en œuvre ;
Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés du 16 novembre 2023 portant désignation d’un rapporteur devant la formation restreinte ;
Vu le rapport de Mme Sophie LAMBREMON, commissaire rapporteure, signifié à la société TELEMAQUE le 15 mars 2024 ; 
Vu les observations écrites versées par la société TELEMAQUE le 12 avril 2024 ;
Vu la décision n° 2024-092C du 22 avril 2024 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification de tout traitement accessible à partir du domaine " cosmospace.medium.fr " ou portant sur des données à caractère personnel collectées à partir de ce dernier ;
Vu la réponse de la rapporteure à ces observations, notifiée à la société le 30 avril 2024 ;
Vu les observations écrites versées par la société TELEMAQUE le 30 mai 2024 ;
Vu la clôture de l’instruction, notifiée à la société le 11 juin 2024 ; 
Vu la demande de report de la séance formulée par la société le 18 juin 2024, et la réponse à cette demande adressée par le président de la formation restreinte à la société le 20 juin 2024 ; 
Vu la demande de réouverture de l’instruction formulée par la société le 26 juin 2024, et la réponse à cette demande adressée par le président de la formation restreinte à la société le 27 juin 2024 ; 
Vu les observations orales formulées lors de la séance de la formation restreinte du 4 juillet 2024 ;
Vu les autres pièces du dossier ;
Étaient présents, lors de la séance de la formation restreinte :
- Mme Sophie LAMBREMON, commissaire, entendue en son rapport ;
En qualité de représentants de la société TELEMAQUE :
- […] ;
La société TELEMAQUE ayant eu la parole en dernier ;
La formation restreinte a adopté la décision suivante :
I. FAITS ET PROCÉDURE
1. La société TELEMAQUE (FINZHOLD) (ci-après, " la société "), dont le siège social est situé 80 route des Lucioles à VALBONNE (06560), est une société par actions simplifiée ayant pour activité principale le développement et la fourniture de services informatiques et numériques. Au 30 novembre 2021, elle employait 43 salariés. 
2. Entre mars 2021 et mars 2022, son chiffre d’affaires s’élevait à environ 9,6 millions d’euros, pour un résultat net de 973 486 euros. L’année suivante, ce chiffre s’élevait à environ 9,9 millions d’euros, pour un résultat net de 1,3 million d’euros. 
3. La société a pour principal client la société COSMOSPACE, son partenaire historique, leurs rapports étant encadrés, d’une part, par un contrat de sous-traitance, d’autre part par un accord de responsabilité conjointe concernant le traitement de certaines données à caractère personnel.
4. Par ailleurs, la société TELEMAQUE exploite, pour son propre compte, un certain nombre de services numériques en lien avec les arts divinatoires. Elle édite à cet égard plusieurs sites web, parmi lesquels le site horoscope.fr, proposant notamment des services de voyance par SMS, par SVA (service correspondant à un numéro de téléphone surtaxé) ou par outil d’échange de messages textuels en ligne (ci-après, " chat "). En 2021, 7 401 clients uniques par mois en moyenne ont ainsi eu recours aux prestations proposées par SMS. Ce chiffre s’élève, pour les consultations par SVA, à 6 355 et, pour le " chat " en français, à 1 175. La société propose également, sur certains de ses sites web, des prestations de voyance personnalisées par téléphone, lesquelles sont assurées par la société COSMOSPACE.
5. Afin de promouvoir ses offres, la société TELEMAQUE réalise des campagnes de prospection commerciale par courriers électroniques et SMS, tant auprès de ses clients que de prospects dont les coordonnées ont été obtenues soit directement par ses soins (principalement par le biais de ses sites web), soit par la société COSMOSPACE. Pour ce faire, les deux sociétés ont mis en place une base de données commune ([…]), contenant les données de l’ensemble de leurs clients et prospects, ce qui représentait, au 6 octobre 2022, plus de 7 millions de fiches de contact pour plus d’1,5 million de personnes uniques.
6. La société a indiqué avoir, sur les trois premiers trimestres de l’année 2022, envoyé près de 4 millions de SMS et plus de 7,2 millions de courriers électroniques de prospection commerciale. 
7. Le 15 novembre 2021, une délégation de la Commission nationale de l’informatique et des libertés (ci-après, " la CNIL " ou " la Commission ") a procédé à un contrôle en ligne à partir de cinq sites web édités par les sociétés COSMOSPACE et TELEMAQUE. Celui-ci avait pour but de vérifier le respect des dispositions de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés (ci-après, " la loi Informatique et Libertés " ou " loi du 6 janvier 1978 modifiée ") et des autres dispositions relatives à la protection des données personnelles prévues par les textes législatifs et réglementaires, le droit de l'Union européenne et les engagements internationaux de la France. Le procès-verbal dressé à l’issue a été notifié à la société TELEMAQUE le 22 novembre 2021. 
8. Un contrôle sur place a également été réalisé les 7 et 8 décembre 2021 dans les locaux des sociétés susvisées. Les procès-verbaux afférents ont été notifiés à la société TELEMAQUE le 10 décembre 2021.
9. La société a communiqué à la délégation des éléments complémentaires les 20 décembre 2021, 26 janvier, 25 février, 30 mai, 5 août et 13 octobre 2022.
10. Aux fins d’instruction de ces éléments, la présidente de la Commission a, le 16 novembre 2023, désigné Mme Sophie LAMBREMON en qualité de rapporteure sur le fondement de l’article 22 de la loi du 6 janvier 1978 modifiée. 
11. Conformément à l’article 56 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données (ci-après, " le RGPD ") et au vu des éléments du dossier, la CNIL a, le 27 avril 2023, informé l’ensemble des autorités de contrôle européennes de sa compétence pour agir en tant qu’autorité de contrôle cheffe de file concernant les traitements transfrontaliers mis en œuvre par la société, résultant de ce que l’établissement principal de la société se trouve en France. Après échanges entre la CNIL et les autorités de protection des données européennes dans le cadre du mécanisme de guichet unique, il apparait que les autorités allemande, autrichienne, belge, chypriote, espagnole, grecque, hongroise, italienne, lettone, luxembourgeoise, néerlandaise, portugaise, tchèque et suédoise sont concernées par les traitements mis en œuvre, des personnes résidant dans ces Etats membres ayant eu recours aux services de voyance par " chat " proposés par la société.