AgentPublic/cnil huggingface dataset:
7. Le 6 mars 2019, en application de la décision n° 2019-046C du 18 février 2019 de la présidente de la CNIL, un questionnaire a été adressé à la société […], auquel cette dernière a répondu par courrier du 8 avril puis par des courriers complémentaires des 22 mai, 1er août, 11 octobre et 27 décembre 2019. Cette mission de contrôle sur pièces a eu pour objet de vérifier le respect par la société […] de l’ensemble des dispositions du RGPD et de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés (ci-après " la loi du 6 janvier 1978 modifiée " ou la loi " Informatique et Libertés "). 
8. À la suite de ce premier contrôle, la CNIL, tenant compte de la réponse apportée par la société au courrier d’instruction qui lui avait été adressé et de sa mise en conformité sur plusieurs points, a soumis à ses homologues européens, le 23 décembre 2019, en application de l’article 60 du RGPD, un projet de décision de sa présidente rappelant la société à ses obligations, conformément aux dispositions de l’article 58.2.b) du RGPD.
9. Ce projet de décision a fait l’objet de la part de certaines autorités concernées d’objections pertinentes et motivées au sens de l’article 60 du RGPD, demandant que la société ne fasse pas seulement l’objet d’un rappel à l’ordre mais qu’elle soit sanctionnée par une amende administrative et soulignant, notamment, le nombre de manquements, le nombre de plaintes et la taille de la société. Compte tenu de ces objections et des nouvelles plaintes reçues depuis le premier contrôle, la CNIL a décidé de reprendre ses investigations auprès de la société. 
10. Le 11 février 2020, la délégation de la CNIL a procédé à une mission de contrôle dans les locaux de la société. Un contrôle en ligne du site web de la société ([…]) a ensuite été réalisé le 24 février 2020, en application de la décision n° 2019-046C précitée. À la suite de ces investigations, la société a adressé à la CNIL des éléments complémentaires par courriers en date des 21 février, 10 mars, 19 mars et 7 août 2020. 
11. Aux fins d’instruction de ces éléments, la présidente de la Commission a, le 16 octobre 2020, désigné Madame Sophie LAMBREMON en qualité de rapporteure, sur le fondement de l’article 22 de la loi du 6 janvier 1978 modifiée.
12. À l’issue de son instruction, la rapporteure a fait notifier à la société, le 24 novembre 2020, un rapport détaillant les manquements aux dispositions des articles L. 34-5 du code des postes et des communications électroniques (ci-après le " CPCE ") et 12-1, 12-3, 13, 15-1, 21-2 et 32 du RGPD qu’elle estimait constitués en l’espèce. Ce rapport proposait à la formation restreinte de la Commission de prononcer à l’encontre de la société une amende administrative et que cette décision soit rendue publique mais ne permette plus d’identifier nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.
13. Était également jointe au rapport une convocation à la séance de la formation restreinte du 28 janvier 2021 indiquant à la société qu’elle disposait d’un délai d’un mois pour communiquer ses observations écrites en application des dispositions de l’article 40 du décret n° 2019-536 du 29 mai 2019.
14. La société […] a répondu au rapport de sanction par des observations écrites en date du 22 décembre 2020.
15. La société et la rapporteure ont présenté des observations orales lors de la séance de la formation restreinte. 
II. Motifs de la décision
A. Sur la procédure de coopération européenne
16. Aux termes de l’article 56, paragraphe 1, du Règlement " l'autorité de contrôle de l'établissement principal ou de l'établissement unique du responsable du traitement ou du sous-traitant est compétente pour agir en tant qu'autorité de contrôle chef de file concernant le traitement transfrontalier effectué par ce responsable du traitement ou ce sous-traitant, conformément à la procédure prévue à l'article 60 ".
17. En l’espèce, la formation restreinte relève, d’abord, que le siège social de la société se trouve en France depuis la création de l’entreprise […] et que la société est immatriculée au registre du commerce et des sociétés en France depuis l’origine. 
18. La formation restreinte relève, ensuite, que les premiers hôtels du groupe […] étaient implantés en France, la société ayant lancé son activité à l’étranger seulement dans un second temps. 
19. […]
20. L’ensemble de ces éléments concourent à considérer que l’établissement principal de la société se trouve en France et que la CNIL est compétente pour agir en tant qu'autorité de contrôle chef de file concernant les traitements transfrontaliers effectués par cette société, conformément à l’article 56, paragraphe 1, du Règlement.
21. La formation restreinte relève qu’à la date du présent projet de décision les autorités de contrôle des pays suivants étaient concernées par la présente procédure : Allemagne, Autriche, Belgique, Bulgarie, Croatie, Danemark, Espagne, Estonie, Grèce, Irlande, Italie, Lettonie, Lituanie, Luxembourg, Pays-Bas, Pologne, Portugal, Roumanie, Slovaquie, Slovénie, Suède et République tchèque.
22. À l’issue d’une procédure contradictoire, un projet de décision a été adopté par la formation restreinte et a été transmis aux autres autorités de contrôle européennes concernées en application de l’article 60, paragraphe 3, du RGPD.
23. Le 28 mai 2021, l’autorité polonaise de protection des données a formulé trois objections, conformément à l’article 60, paragraphe 4, du RGPD.
24. Par la délibération nº SAN-2022-001 du 13 janvier 2022, la formation restreinte a exposé son point de vue sur les objections de l’autorité polonaise et expliqué les motifs pour lesquels elle a décidé de ne pas suivre ces objections.
25. Le 15 juin 2022, le Comité européen de protection des données (ci-après " CEPD ") a adopté la décision 01/2022 concernant le litige relatif au projet de décision de l’autorité de contrôle française concernant […] en application de l’article 65, paragraphe 1, point a), du RGPD. Par cette décision, le CEPD s’est prononcé sur le litige relatif au projet de décision qui ne portait plus que sur une seule objection de l’autorité polonaise, concernant le montant de l’amende fixé dans le projet de décision.
B. Sur le manquement relatif à l’obligation de recueillir le consentement de la personne concernée par une opération de prospection directe au moyen d’un système automatisé de communications électroniques en application de l’article L. 34-5 du CPCE
1. Sur l’absence de consentement des personnes à la réception de messages de prospection commerciale de la société […]
26. L’article L. 34-5 du CPCE dispose : " Est interdite la prospection directe au moyen de système automatisé de communications électroniques au sens du 6° de l'article L. 32, d'un télécopieur ou de courriers électroniques utilisant les coordonnées d'une personne physique, abonné ou utilisateur, qui n'a pas exprimé préalablement son consentement à recevoir des prospections directes par ce moyen.
Pour l'application du présent article, on entend par consentement toute manifestation de volonté libre, spécifique et informée par laquelle une personne accepte que des données à caractère personnel la concernant soient utilisées à fin de prospection directe. 
Constitue une prospection directe l'envoi de tout message destiné à promouvoir, directement ou indirectement, des biens, des services ou l'image d'une personne vendant des biens ou fournissant des services. Pour l'application du présent article, les appels et messages ayant pour objet d'inciter l'utilisateur ou l'abonné à appeler un numéro surtaxé ou à envoyer un message textuel surtaxé relèvent également de la prospection directe.
Toutefois, la prospection directe par courrier électronique est autorisée si les coordonnées du destinataire ont été recueillies auprès de lui, dans le respect des dispositions de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, à l'occasion d'une vente ou d'une prestation de services, si la prospection directe concerne des produits ou services analogues fournis par la même personne physique ou morale, et si le destinataire se voit offrir, de manière expresse et dénuée d'ambiguïté, la possibilité de s'opposer, sans frais, hormis ceux liés à la transmission du refus, et de manière simple, à l'utilisation de ses coordonnées au moment où elles sont recueillies et chaque fois qu'un courrier électronique de prospection lui est adressé au cas où il n'aurait pas refusé d'emblée une telle exploitation.
 […] ".
Aux termes de l’alinéa 6 du même article, " La Commission nationale de l'informatique et des libertés veille, pour ce qui concerne la prospection directe utilisant les coordonnées d'un abonné ou d'une personne physique, au respect des dispositions du présent article en utilisant les compétences qui lui sont reconnues par la loi n° 78-17 du 6 janvier 1978 précitée. A cette fin, elle peut notamment recevoir, par tous moyens, les plaintes relatives aux manquements aux dispositions du présent article […] ".
27. Il ressort des investigations réalisées par la CNIL que, lorsqu’une personne réservait une chambre d’hôtel directement auprès du personnel d’un hôtel d’une des marques hôtelières du groupe […] (sur place ou par téléphone) ou sur le site d’une des marques hôtelières du groupe ([…].), elle était rendue destinataire des courriels de la société contenant la newsletter " […]", la case relative au consentement à recevoir la newsletter étant pré-cochée par défaut. 
28. La rapporteure estime que, dans ces hypothèses, le consentement des personnes destinataires des courriels électroniques de la société contenant la newsletter " […]" n’était pas valablement recueilli. Elle relève notamment à cet égard que les offres commerciales et promotionnelles présentes dans la newsletter " […]" ne portent pas uniquement sur des services fournis par la société mais portent également sur les services de sociétés " partenaires " – telles que, par exemple, des compagnies aériennes ou de sociétés gestionnaires de parcs de stationnement.
29. Dans ces conditions, la rapporteure considère que la société ne peut pas se prévaloir de l’exception prévue à l’article L. 34-5 alinéa 4 du CPCE, qui prévoit qu’un organisme peut adresser des messages de prospection commerciale par courrier électronique sans recueillir préalablement le consentement des personnes concernées lorsque les données ont été collectées auprès de ces personnes à l'occasion d'une vente ou d'une prestation de services et que la prospection commerciale concerne des produits ou services analogues fournis par la même personne physique ou morale.
30. La société soutient que c’est bien elle qui collecte dans tous les cas les données auprès des personnes concernées car, d’une part, elle édite et gère tous les sites de réservation de toutes les marques du groupe et, d’autre part, même lorsqu’ils sont utilisés par les personnels des hôtels du groupe à la demande de clients, les outils de réservation et d’adhésion au programme de fidélité sont gérés par elle seule et viennent alimenter sa propre base de données.
31. La formation restreinte prend acte de ce que la société est détentrice des sites de réservation de toutes les marques du groupe ([…]). La formation restreinte relève néanmoins que les messages de prospection commerciale adressés par la société ne portent pas exclusivement sur des produits ou services analogues fournis par cette société mais qu’ils sont susceptibles de contenir par exemple des offres promotionnelles de partenaires, telle que des compagnies aériennes ou des sociétés gestionnaires de parcs de stationnement.
32. Dans ces conditions, la formation restreinte considère que la société était tenue de recueillir le consentement préalable, libre, spécifique et informé des personnes à recevoir des messages de prospection directe par courrier électronique, conformément à l’alinéa 1er de l’article L. 34-5 du CPCE, ce que ne permettait pas l’existence, en l’espèce, d’une case relative au consentement à recevoir la newsletter pré-cochée par défaut. La formation restreinte rappelle que dans son arrêt Planet49 du 1er octobre 2019 (affaire C-673/19), la Cour de justice de l’Union européenne a indiqué qu’un consentement recueilli au moyen d’une case pré-cochée ne peut pas être considéré comme valablement donné par l’utilisateur.
33. Dans le cadre de la procédure, la société a justifié avoir pris des mesures pour mettre en conformité l’ensemble de ses outils de collecte du consentement des personnes concernées à recevoir des messages de prospection commerciale par courriel électronique, afin que pour chacun des parcours de réservation et d’adhésion au programme ce consentement ne soit plus recueilli par défaut. 
34. La formation restreinte considère par conséquent que le manquement à l’article L. 34-5 du CPCE est constitué, mais que la société s’est mise en conformité à la date de clôture de l’instruction.
2. Sur l’absence de consentement des personnes créant un espace client, à la réception des messages de prospection commerciale
35. Dans le cadre de l’instruction, la délégation de contrôle de la CNIL a constaté que, lors de la création d’un espace client, la société ne recueillait pas le consentement des personnes pour le traitement de leurs données à caractère personnel à des fins de prospection commerciale par courriers électroniques. En effet, il a été constaté que les données à caractère personnel utilisées par la société à des fins de prospection commerciale pouvaient être collectées depuis un formulaire de création d’un espace client, indépendamment d’une réservation, sur lequel figurait une case " pré-cochée " par défaut portant sur le consentement à recevoir de la prospection commerciale.
36. La formation restreinte considère que la société est tenue de recueillir le consentement préalable, libre, spécifique et informé des personnes créant un espace client sur son site web, à recevoir des messages de prospection directe par courriers électroniques, conformément à l’alinéa 1 de l’article L. 34-5 du CPCE. En effet, dans la mesure où la création d’un espace client peut intervenir sans réservation préalable, l’exemption au recueil du consentement prévue à l’article L. 34-5 lorsque sont proposés des services analogues n’est pas mobilisable dans ce cas de figure.
37. En réponse, la société a justifié avoir modifié son formulaire de création d’un espace client, afin que le consentement des personnes concernées à recevoir des messages de prospection ne soit plus recueilli par défaut. 
38. Dans ces conditions, la formation restreinte considère que le manquement à l’article L. 34-5 du CPCE est constitué, mais que la société s’est mise en conformité à la date de clôture de l’instruction.
C. Sur le manquement relatif à l’obligation d’informer les personnes en application des articles 12 et 13 du RGPD
39. Aux termes de l’alinéa 1 de l’article 12 du RGPD : " Le responsable du traitement prend des mesures appropriées pour fournir toute information visée aux articles 13 et 14 ainsi que pour procéder à toute communication au titre des articles 15 à 22 et de l'article 34 en ce qui concerne le traitement à la personne concernée d'une façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples […] ".
40. L’article 13 du RGPD exige du responsable de traitement qu’il fournisse, au moment où les données sont collectées, les informations relatives à son identité et ses coordonnées, les finalités du traitement et sa base juridique, les destinataires ou les catégories de destinataires des données à caractère personnel, le cas échéant les transferts de données à caractère personnel, la durée de conservation des données à caractère personnel, les droits dont bénéficient les personnes ainsi que le droit d’introduire une réclamation auprès d’une autorité de contrôle.
41. En premier lieu, s’agissant du caractère accessible de l’information, la délégation a constaté lors du contrôle en ligne du 24 février 2020 que les formulaires permettant la création d’un compte client ou l’adhésion au programme de fidélité du groupe […] ne comportaient pas les informations exigées par l’article 13 du RGPD. Les personnes n’étaient pas non plus invitées à effectuer une quelconque démarche pour prendre connaissance de l’information fournie au titre de l’article 13 du RGPD, par exemple en accédant par le biais d’un lien hypertexte à la " charte de protection des données personnelles " de la société. 
42. La formation restreinte rappelle que pour considérer qu’un responsable de traitement satisfait à son obligation de transparence, il convient notamment que l’information fournie soit " aisément accessible " pour les personnes concernées au sens de l’article 12 du Règlement.
43. Elle relève, à cet égard, que cette disposition doit être interprétée à la lumière du considérant 61 du Règlement, aux termes duquel : " les informations sur le traitement des données à caractère personnel relatives à la personne concernée devraient lui être fournies au moment où ces données sont collectées auprès d'elle ". En ce sens, elle partage la position du G29 présentée dans les lignes directrices sur la transparence au sens du Règlement, adoptées dans leur version révisée le 11 avril 2018 et endossées le 25 mai 2018 par le Comité européen de protection des données (CEPD) qui rappelle que " la personne concernée ne devrait pas avoir à rechercher les informations mais devrait pouvoir tout de suite y accéder ".
44. La formation restreinte considère qu’en l’espèce les mentions d’information des personnes concernées n’étaient pas " aisément accessibles " pour ces dernières, en ce que, lors de la création d’un compte, l’accès à la " charte de protection des données personnelles " de la société n’était organisé que via un lien hypertexte disponible tout en bas des pages du site internet, ce qui nécessitait que l’internaute fasse défiler la page dans son intégralité et recherche l’information, en méconnaissance de l’article 12 du RGPD.
45. Dans le cadre de l’instruction, la société a indiqué avoir procédé à des rectifications, afin de délivrer une information conforme aux exigences du RGPD. Par une vérification informelle, il a en effet été constaté que les mentions d’informations relatives au traitement des données personnelles avaient été complétées sur les formulaires de création de compte et d’adhésion au programme de fidélité et que la " charte de protection des données personnelles des clients " était désormais directement accessible à partir d’un lien inséré sur ces formulaires. 
46. En second lieu, la délégation de contrôle a constaté que la " charte de protection des données personnelles des clients " de la société précise que la base légale du traitement des données personnelles en lien avec l’envoi de prospections commerciales est " l’intérêt légitime " ou " l’exécution d’un contrat ". 
47. Or, la rapporteure soutient que, dans les hypothèses précédemment mentionnées, pour l’envoi de messages de prospection relatifs aux produits ou services de tiers, la société ne peut se dispenser de recueillir le consentement des personnes concernées à recevoir des messages de prospection commerciale. 
48. En réponse, la société indique que, même si le consentement des personnes concernées doit être recueilli en vertu des dispositions de l’article L. 34-5 du CPCE, les traitements mis en œuvre aux fins de prospection commerciale ont pour base légale l’intérêt légitime.
49. Ainsi qu’il a été précédemment exposé, la formation restreinte considère que dans certaines hypothèses la société est tenue de recueillir le consentement préalable, libre, spécifique et informé des personnes concernées à recevoir des messages de prospection directe par courriers électroniques, conformément aux dispositions de l’alinéa 1 de l’article L. 34-5 du CPCE.
50. La formation restreinte estime que lorsque le recueil du consentement de la personne concernée s’impose pour le traitement de ses données à caractère personnel pour une finalité déterminée (et non seulement pour une opération donnée), la base légale du traitement ainsi mis en œuvre est le consentement. 
51. Par conséquent, la formation restreinte relève qu’en ne mentionnant pas le consentement comme base légale du traitement, pour la prospection tendant à promouvoir les produits ou services de tiers, la société a méconnu son obligation au titre de l’article 13 du RGPD. 
52. La formation restreinte considère dès lors que l’ensemble de ces faits constituent des manquements aux articles 12 et 13 du RGPD.
D. Sur le manquement relatif à l’obligation de respecter le droit d’accès des personnes en application de l’article 15 du RGPD
53. L’article 15.1 du RGPD prévoit un droit d’accès de la personne concernée à ses données à caractère personnel en ces termes : " La personne concernée a le droit d’obtenir du responsable de traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées et, lorsqu’elles le sont, l’accès auxdites données à caractère personnel (…) ". 
54. L’article 12.3 du RGPD précise en outre que " le responsable du traitement fournit à la personne concernée des informations sur les mesures prises à la suite d'une demande formulée en application des articles 15 à 22, dans les meilleurs délais et en tout état de cause dans un délai d'un mois à compter de la réception de la demande ". 
55. Lors de l’instruction de la réclamation n° […] reçue par la CNIL, il est apparu que la société a manqué à son obligation de fournir à la plaignante, dans le délai imparti par le RGPD, une copie de ses données à caractère personnel qu’elle détenait dans sa base de données.
56. La rapporteure relève que l’auteure de la réclamation a formulé une demande de droit d’accès le 1er août 2019, date à laquelle son compte client avait fait l’objet d’une suspension à la suite d’une détection de connexion frauduleuse. Toutefois, alors que la plaignante avait justifié de son identité le 10 janvier 2020, permettant ainsi la réouverture de son compte client par la société, aucune réponse n’avait encore été fournie à sa demande de droit d’accès à la date du contrôle de la délégation de la CNIL, le 11 février 2020. La société a fait droit à la demande de la plaignante le 24 février 2020.
57. La formation restreinte considère, que dans l’hypothèse où le compte d’un client a fait l’objet d’une détection de connexion frauduleuse, la société peut certes avoir un doute raisonnable sur l’identité du demandeur souhaitant exercer son droit d’accès, justifiant qu’une pièce d’identité soit sollicitée auprès de la personne concernée.
58. La formation restreinte estime toutefois que, dès lors que le doute est levé sur l’identité de la personne, la demande de droit d’accès doit être honorée par le responsable du traitement. 
59. Dans ces conditions, la formation restreinte considère que le manquement à l’article 15 du RGPD est constitué s’agissant de la plainte n° […], bien qu’il ne ressorte pas du dossier qu’au-delà de cette plainte ponctuelle le manquement ait eu un caractère structurel.