AgentPublic/cnil huggingface dataset:
20. Aux termes de l’article 39 du décret n°2019-536 du 29 mai 2019, " lorsqu'une mesure prévue au III de l'article 20 de la loi du 6 janvier 1978 […] est susceptible d'être prononcée, le président de la commission désigne un rapporteur n'appartenant pas à la formation restreinte, et en informe le responsable de traitement ou le sous-traitant mis en cause ".
21. La formation restreinte relève qu’en application de ces dispositions, la présidente de la CNIL a, par décision du 7 avril 2022, désigné Mme Valérie PEUGEOT, commissaire, pour établir le rapport devant permettre à la formation restreinte d’arrêter sa décision dans le cadre du dossier " CTX n°2022-019 X ".
22. Lors de la séance du 7 décembre 2023, puis dans le cadre de ses observations du 28 décembre 2023, la société X a invoqué la nullité de cette désignation, dans la mesure où elle serait intervenue sur la base d’une saisine ne concernant pas la société X.
23. La formation restreinte relève que le 1er juillet 2020, la CNIL a été saisie d’une plainte n°[…] visant plusieurs sociétés du groupe Y.
24. Par décision n°2021-191 du 29 juin 2021, la présidente de la CNIL a chargé le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements mis en œuvre par la société Y ou par ses filiales.
25. Le procès-verbal de contrôle en date du 23 septembre 2021 indique que " la mission de contrôle a pour objet de procéder à la vérification sur place de la conformité des traitements de données à caractère personnel mis en œuvre par la société Y ou par ses filiales et notamment les sociétés […] et […] ". Il précise qu’ " en particulier, il s’est agi d’effectuer des vérifications postérieurement aux clôtures du 4 mai 2021 des mises en demeure MED n°2020-041 du 24 novembre 2020 à l’encontre de la société […] et MED n°2020-042 du 24 novembre 2020 à l’encontre de la société …] ; il s’est également agi de donner suite à la saisine […] relative à l’exercice de son droit d’accès par un plaignant ".
26. La formation restreinte considère que, dans la mesure où la saisine […] a donné lieu à des vérifications réalisées lors du contrôle sur place le 23 septembre 2021, lequel visait le groupe Y et l’ensemble de ses filiales, dont fait partie la société X, le fait que cette saisine soit mentionnée dans la décision de la présidente de désigner Mme Valérie PEUGEOT en tant que rapporteure est sans incidence sur la validité de cette désignation, quand bien même ladite saisine ne viserait pas spécifiquement la société X.
B. Sur la procédure de coopération européenne
27. Aux termes de l’article 4 paragraphe 23, b) du RGPD, on entend par " traitement transfrontalier " " un traitement de données à caractère personnel qui a lieu dans l'Union dans le cadre des activités d'un établissement unique d'un responsable du traitement ou d'un sous-traitant, mais qui affecte sensiblement ou est susceptible d'affecter sensiblement des personnes concernées dans plusieurs États membres ".
28. La rapporteure relève que la société dispose de boutiques en France, mais également en Belgique, en Espagne, au Portugal et en Italie. Elle observe que, bien que la société ait indiqué que ses opérations de prospection commerciale étaient menées exclusivement depuis la France, à destination de ressortissants français, elle a néanmoins transmis des enregistrements d’appels de prospection à destination de ressortissants belges, dans l’objectif de promouvoir ses boutiques situées en Belgique. Par ailleurs, la rapporteure relève que la société a également indiqué que sa base de données clients contenait l’ensemble des données des clients des boutiques X en Europe. Elle considère que, dès lors, la société met en œuvre des traitements de données à caractère personnel transfrontaliers.
29. En défense, s’agissant des opérations de prospection commerciale par téléphone, la société affirme n’effectuer de la prospection qu’auprès d’individus domiciliés en France, afin de générer du trafic dans ses points de vente situés en France. S’agissant des enregistrements d’appels à destination de ressortissants belges transmis à la délégation, elle précise que " X Belgium, entité de tête portant les activités d’X en Belgique ne dispose pas de personnels dédiés à l’animation d’un service client. Aussi, pour les opérations de prospection téléphoniques ou sms effectuées dans l’optique de générer du trafic dans les points de vente situés sur le territoire belge, X Belgium a pu sous-traiter cette activité de prospection à Z en utilisant les services des plateaux commerciaux hexagonaux de cette société. Dès lors, étaient fournis aux équipes préposées à la prospection, l’accès à un fichier de prospection belge, acquis d’X Belgium ".
30. En premier lieu, s’agissant des opérations de prospection commerciale par téléphone visées par le manquement à l’article 6 du RGPD, la formation restreinte relève que ce manquement repose sur la conception de formulaires mis en œuvre par des courtiers en données ne fournissant à la société X que des données de ressortissants français. Dans ces conditions, malgré la réalisation par la société de démarchage téléphonique à destination de ressortissants belges, la formation restreinte considère que le traitement concerné par le manquement à l’article 6 du RGPD ne constitue pas un traitement transfrontalier.
31. En deuxième lieu, s’agissant des enregistrements d’appels de prospection téléphonique visés par le manquement à l’article 14 du RGPD, la formation restreinte relève que ces derniers visent des ressortissants français mais également des ressortissants belges, afin de promouvoir des boutiques situées en Belgique. Ainsi, le caractère transfrontalier du traitement apparait caractérisé.
32. En troisième et dernier lieu, la société a indiqué que sa base de données clients, visée par le manquement à l’article 32 du RGPD, contenait les données des clients de l’ensemble des points de vente X en Europe. La formation restreinte considère ainsi que la gestion de cette base de données constitue un traitement transfrontalier au sens de l’article 4, paragraphe 23, du RGPD.
33. En application de l’article 60, paragraphe 3, du RGPD, le projet de décision adopté par la formation restreinte a été transmis aux autres autorités de contrôle européennes compétentes, en vue de leur permettre d’effectuer des objections pertinentes et motivées sur les traitements et manquements qui les concernent, le 20 février 2024. La formation restreinte relève que les autorités de contrôle suivantes sont concernées par la présente procédure : Belgique, Italie, Espagne, Portugal.
34. Au 20 mars 2024, aucune de ces autorités n’avait formulé d’objection pertinente et motivée à l’égard de ce projet de décision, de sorte que, en application de l’article 60, paragraphe 6, du RGPD, ces dernières sont réputées l’avoir approuvé.
C. Sur le manquement à l’obligation de recueillir le consentement des personnes concernées pour la mise en œuvre de prospection commerciale par voie électronique
35. Aux termes de l’article L. 34-5 du CPCE, " est interdite la prospection directe au moyen de système automatisé de communications électroniques […], d'un télécopieur ou de courriers électroniques utilisant les coordonnées d'une personne physique […] qui n'a pas exprimé préalablement son consentement à recevoir des prospections directes par ce moyen. Pour l'application du présent article, on entend par consentement toute manifestation de volonté libre, spécifique et informée par laquelle une personne accepte que des données à caractère personnel la concernant soient utilisées à fin de prospection directe […] ".
36. Aux termes de l’article 4, paragraphe 11, du RGPD, on entend par " consentement " de la personne concernée " toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l'objet d'un traitement ".
37. En application des dispositions combinées des articles L.34-5 du CPCE et 4, paragraphe 11 du RGPD, l’organisme qui fait réaliser des opérations de prospection commerciale par voie électronique doit disposer d’un consentement univoque, spécifique, libre et informé des personnes concernées.
38. La rapporteure relève que la société a indiqué procéder à des opérations de prospection commerciale par SMS à partir de fichiers de prospects achetés auprès de courtiers en données. Elle observe que les constatations réalisées par la délégation ont permis d’établir que ces courtiers collectaient les données des personnes concernées par l’intermédiaire de formulaires de participation à des jeux-concours en ligne.
39. Pour proposer à la formation restreinte de considérer que la société a méconnu ses obligations résultant de l’article L. 34-5 du CPCE, tel qu’éclairé par les dispositions de l’article 4, paragraphe 11 du RGPD, la rapporteure se fonde sur le fait que la conception de ces formulaires ne permet pas aux utilisateurs de manifester leur consentement par un acte positif clair et dénué d’ambigüité, et les incite fortement à accepter la transmission de leurs données aux partenaires de la société à des fins de prospection.
40. En défense, la société se prévaut des termes du contrat la liant à l’un de ses fournisseurs, la société […], estimant qu’elle ne peut être tenue pour responsable des agissements non conformes de son prestataire. S’agissant de l’autre fournisseur, la société […], elle indique qu’elle n’entretenait avec lui aucune relation contractuelle avant le mois de novembre 2021 et que la majorité des fichiers reçus provenaient de la société […], complétés par des apports en provenance de la société […] ayant elle-même recours à un réseau de sous-traitants parmi lesquels la société […].
41. En l’espèce, il ressort de l’instruction que la société X réalise des opérations de prospection commerciale par SMS à partir de fichiers de prospects achetés auprès de fournisseurs de données, chargés de recueillir le consentement des personnes concernées au moment de la collecte des données. Entre le mois de septembre 2020 et le mois de septembre 2021, 1 363 773 SMS de prospection ont ainsi été envoyés. Le nombre d’envois entre le mois de mai 2022 et le mois de mai 2023, s’élève à 221 206.
42. En premier lieu, s’agissant de la société […], la formation restreinte relève que lors du contrôle du 23 septembre 2021, la société a indiqué que les " SMS de prospection relatifs au catalogue de la société X sont envoyés aux prospects fournis par la société […] car cette dernière est capable de cibler des prospects proches des boutiques ". A cette occasion, une extraction de 5 000 fiches de prospects livrées par la société […] a ainsi été effectuée. Par ailleurs, la société a fourni à la délégation deux bons de commande de la société […], datés du 3 août 2021, portant sur la vente de plusieurs dizaines de milliers de fichiers à la société X.
43. Ces éléments conduisent la formation restreinte à considérer que la société X exploitait bien, au jour du contrôle, les fichiers de prospects livrés par la société […].
44. En deuxième lieu, la formation restreinte rappelle que lorsque les données des prospects n’ont pas été collectées directement auprès d’eux par l’organisme qui prospecte, le consentement peut avoir été recueilli au moment de la collecte initiale des données par le primo-collectant, pour le compte de l’organisme qui réalisera les opérations de prospection ultérieures. À défaut, il revient à l’organisme qui prospecte de recueillir un tel consentement avant de procéder à des actes de prospection (CNIL, FR, 24 novembre 2022, Sanction, n°SAN-2022-021, publié).
45. Il en résulte qu’en sa qualité de responsable de traitement, la société X est tenue de vérifier elle-même que les conditions lui permettant de réaliser des opérations de prospection commerciale sont réunies. A cet égard, la formation restreinte a retenu la responsabilité d’un organisme en considérant qu’un simple engagement contractuel de son courtier en données à respecter le RGPD et les règles applicables en matière de prospection commerciale ne constituait pas une mesure suffisante (CNIL, FR, 24 novembre 2022, Sanction, n° SAN-2022-021, publié).
46. Ainsi, s’agissant des engagements contractuels de la société […] dont se prévaut la société X, la formation restreinte considère que les obligations contractuelles pouvant être imposées aux fournisseurs ne sauraient exonérer la société X de sa responsabilité en tant que responsable de traitement, malgré l’existence éventuelle d’une responsabilité des fournisseurs.
47. En troisième lieu, la formation restreinte rappelle que le consentement spécifique requis par les dispositions de l’article L. 34-5 du CPCE ne peut résulter que d’un consentement exprès de l’utilisateur, donné en toute connaissance de cause après une information adéquate sur l’usage qui sera fait de ses données personnelles. Il convient ainsi de s’assurer que les personnes concernées ont donné un consentement univoque, spécifique, libre et éclairé lors de la collecte de leurs données à caractère personnel par le biais des formulaires de participation à des jeux-concours.
48. La formation restreinte relève à cet égard que les travaux conduits sur les pratiques mises en œuvre en matière de cookies s’agissant des bannières de recueil du consentement peuvent utilement servir à apprécier de manière plus générale les conditions de recueil d’un consentement libre, univoque, spécifique et éclairé, et servir de référence en matière de prospection commerciale lorsqu’elle est fondée sur le recueil du consentement.
49. Par ailleurs, sur les mêmes conditions du consentement, La Cour de justice de l’Union européenne (ci-après " CJUE ") a précisé, dans sa décision Planet49 GmbH : " l’article 7, sous a) de la directive 95 prévoit que le consentement de la personne concernée peut rendre un tel traitement licite pour autant que ce consentement est " indubitablement " donné par la personne concernée. Or, seul un comportement actif de la part de cette personne en vue de manifester son consentement est de nature à remplir cette exigence " (CJUE, grande chambre, 1er octobre 2019, Planet49 GmbH, C-673/17, ECLI:EU:C:2019:801, §54). Dès lors, il convient de considérer qu’à défaut d’être donné indubitablement, le consentement doit être considéré comme faisant défaut, ce qui rend le traitement illégal pour défaut de base légale. Plus précisément sur les modalités de recueil, la CJUE affirme que " la manifestation de volonté visée à l’article 2, sous h), de la directive 95/46 doit, notamment, être " spécifique ", en ce sens qu’elle doit porter précisément sur le traitement de données concerné et ne saurait être déduite d’une manifestation de volonté ayant un objet distinct. En l’occurrence, contrairement à ce qu’a fait valoir Planet49, le fait pour un utilisateur d’activer le bouton de participation au jeu promotionnel organisé par cette société ne saurait dès lors suffire pour considérer que l’utilisateur a valablement donné son consentement au placement de cookies " (Idem, §§ 58-59).
50. En outre, le Conseil d’Etat a retenu que " le consentement libre, spécifique, éclairé et univoque ne peut qu'être un consentement exprès de l'utilisateur, donné en toute connaissance de cause et après une information adéquate sur l'usage qui sera fait de ses données personnelles. " (CE, 10ème et 9ème chambres réunies, 19 juin 2020, Google LLC, n° 430810, pt. 21).
51. La formation restreinte relève également, à titre d’exemple, que les lignes directrices 5/2020 sur le consentement, adoptées le 4 mai 2020 par le groupe de travail " article 29 " (devenu le Comité européen de la protection des données, ci-après " CEPD "), précisent que le caractère libre du consentement " implique un choix et un contrôle réel pour les personnes concernées. En règle générale, le RGPD dispose que si la personne concernée n’est pas véritablement en mesure d’exercer un choix, se sent contrainte de consentir ou subira des conséquences négatives importantes si elle ne donne pas son consentement, le consentement n’est pas valable […] En termes généraux, toute pression ou influence inappropriée exercée sur la personne concernée (pouvant se manifester de différentes façons) l’empêchant d’exercer sa volonté rendra le consentement non valable ".
52. A titre d’illustration et de comparaison, dans sa délibération n° 2020-092 du 17 septembre 2020 portant adoption d’une recommandation proposant des modalités pratiques de mise en conformité en cas de recours aux " cookies et autres traceurs ", la Commission recommande aux organismes concernés de s’assurer " que les utilisateurs prennent la pleine mesure des options qui s’offrent à eux, notamment au travers du design choisi et de l’information délivrée (§ 10) […] Afin de ne pas induire en erreur les utilisateurs, la Commission recommande que les responsables de traitement s’assurent que les interfaces de recueil des choix n’intègrent pas de pratiques de design potentiellement trompeuses laissant penser aux utilisateurs que leur consentement est obligatoire ou qui mettent visuellement plus en valeur un choix plutôt qu’un autre. Il est recommandé d’utiliser des boutons et une police d’écriture de même taille, offrant la même facilité de lecture, et mis en évidence de manière identique " (§ 34). Elle ajoute qu’il convient " d’être attentif à ce que l’information accompagnant chaque élément actionnable permettant d’exprimer un consentement ou un refus soit facilement compréhensible et ne nécessite pas d’efforts de concentration ou d’interprétation de la part de l’utilisateur. Ainsi, il est notamment recommandé de s’assurer qu’elle n’est pas rédigée de telle manière qu’une lecture rapide ou peu attentive pourrait laisser croire que l’option sélectionnée produit l’inverse de ce
53. La formation restreinte rappelle également que des études menées sur les pratiques des interfaces numériques, en particulier concernant les cookies, relèvent l’impact considérable de l’apparence des bannières de recueil du consentement sur le choix des utilisateurs, pouvant inciter ces derniers à faire des choix ne reflétant pas leurs préférences sur le partage des données.
54. En l’espèce, il ressort des pièces du dossier que les sociétés […] et […], fournisseurs des données de prospects à la société X, collectent les données des personnes concernées (nom, prénom, civilité, adresse électronique, numéro de téléphone mobile, date de naissance et adresse postale) par l’intermédiaire de formulaires de participation à des jeux-concours en ligne, afin de permettre à leurs partenaires de les utiliser dans le cadre de leur prospection commerciale.
55. S’agissant des constatations réalisées par la délégation lors du contrôle, la formation restreinte relève que les formulaires accessibles à partir des sites web […], […], […] et […] se présentent de façon similaire. Sous les champs permettant aux personnes concernées d’inscrire leurs coordonnées (qui leur sont demandées par les formules " remplissez vos coordonnées ci-dessous en cas de gain " ou " remplissez vos coordonnées ci-dessous pour postuler ") est situé un bouton " VALIDER ", " JE VALIDE " ou " JE REPONDS AUX QUESTIONS POUR POSTULER ". Au-dessus ou en-dessous de ce bouton, un texte précise qu’en cliquant sur ce dernier, l’utilisateur déclare avoir lu la politique de protection des données de la société et accepte que les données collectées soient utilisées pour lui envoyer les offres des partenaires de la société. Des liens hypertextes permettent d’accéder à la politique de protection des données et à la liste des partenaires concernés. La fin du texte précise que si l’utilisateur souhaite continuer sans recevoir les offres des partenaires de la société, il peut cliquer sur un lien présent dans le texte (" cliquez ici ").
56. Ainsi, l’utilisateur confronté à ce formulaire peut, soit cliquer sur un bouton permettant à la fois de valider sa participation au jeu et d’accepter que ses données soient utilisées pour lui envoyer les offres des partenaires de la société, soit cliquer sur le lien " cliquez ici " permettant de continuer sans recevoir ces offres.
57. La formation restreinte considère que tels que conçus, les formulaires proposés ne permettent pas aux personnes concernées d’exprimer de manière valable un choix reflétant leurs préférences en matière de transmission de données à des fins de prospection commerciale. L’aperçu global des interfaces met particulièrement en valeur le bouton " VALIDER ", " JE VALIDE " ou " JE REPONDS AUX QUESTIONS POUR POSTULER " qui, par sa taille et sa couleur, se distingue des autres informations délivrées. De même, son intitulé évoque davantage la conclusion du parcours utilisateur plutôt qu’une transmission de données à des partenaires. Enfin, son emplacement donne l’impression de devoir obligatoirement être cliqué pour terminer l’inscription et participer au jeu-concours. A contrario, le lien hypertexte permettant de participer au jeu sans accepter la transmission de ses données aux partenaires est présenté dans le corps du texte, en caractères d’une taille nettement inférieure à celle utilisée pour les boutons et sans mise en valeur particulière, de sorte qu’il n’apparait pas intuitif qu’il est possible de participer sans cliquer sur l’un des boutons précités et donc sans transmettre ses données à des tiers à des fins de prospection. Le consentement recueilli est donc dépourvu d’un caractère univoque et libre.
58. La formation restreinte note par ailleurs que, dans le cadre de ses observations écrites relatives au manquement à l’article 6 du RGPD, la société a produit deux autres formulaires, présentés comme conformes. Or, la formation restreinte relève que leur conception ne permet pas davantage aux personnes concernées de manifester leur consentement par un acte positif clair et dénué d’ambigüité.
59. D’une part, la formation restreinte observe que la présentation de ces formulaires, à l’instar de ceux consultés par la délégation lors du contrôle sur place, met particulièrement en valeur le bouton " VALIDER MES COORDONNEES " et " CONTINUER ", pour valider la participation au jeu et transmettre ses données aux partenaires. Au contraire, le lien hypertexte " cliquez ici " permettant de participer au jeu sans accepter cette transmission est présenté dans le corps du texte, en caractères d’une taille nettement inférieure à celle du bouton et sans mise en valeur particulière. De plus, le visuel global du formulaire accessible à partir du site […], qui contient trois encarts verts (" JE VALIDE MA PARTICIPATION ", " JE CONFIRME MES COORDONNEES POUR LA LIVRAISON EN CAS DE GAIN " et " VALIDER MES COORDONNES ") conduit à penser qu’il existe un séquençage logique entre ces trois actions et que le bouton " VALIDER MES COORDONNEES " est le dernier bouton à activer pour participer au jeu et obtenir son gain. Or, ce bouton n’est pas obligatoire puisque l’utilisateur peut utiliser le lien précité " cliquez ici ", ce qui n’est pas intuitif au regard de l’apparence générale du formulaire.
60. En outre, s’agissant du formulaire mis en œuvre par la société […] à partir du site […], la formation restreinte relève l’existence de deux cases à cocher, l’une concernant la lecture et l’acceptation du règlement du jeu, l’autre la lecture de la politique de confidentialité et l’acceptation de la transmission de ses données. L’aspect similaire de ces cases, présentées comme des mentions légales à lire obligatoirement, et dont le texte d’accompagnement commence par " j’ai lu ", pousse l’utilisateur à les cocher indistinctement, puis à cliquer sur " CONTINUER " en transmettant ses données. La possibilité de participer au tirage au sort sans recevoir d’offres promotionnelles existe en cliquant sur le lien " ici " mais est inscrite dans une police plus petite et sans mise en valeur par rapport au bouton " CONTINUER " qui, d’une part, est particulièrement visible, par sa taille, sa couleur et sa police, d’autre part, semble conclure le parcours utilisateur du fait de son emplacement en bas de formulaire. Ainsi, le caractère facultatif du bouton " CONTINUER " ne se déduit pas nettement du visuel global du formulaire.