AgentPublic/cnil huggingface dataset:
62. D’une part, elle note que la société propose aux utilisateurs de son site web horoscope.fr de remplir un formulaire destiné à délivrer une prédiction gratuite sur leur compatibilité amoureuse avec une personne de leur choix. Doivent ainsi être renseignés le sexe, la date, l’heure et la ville de naissance, ainsi que l’adresse de courrier électronique de l’utilisateur, mais également le sexe et la date de naissance de son/sa partenaire. 
63. La formation restreinte relève tout d’abord que ces informations, en ce qu’elles se rapportent à une personne physique identifiée ou identifiable – notamment grâce à la fourniture de l’adresse de courrier électronique, ainsi que de la date, de l’heure et la ville de naissance –, constituent des " données à caractère personnel " au sens de l’article 4, paragraphe 1 du RGPD. 
64. La formation restreinte rappelle ensuite que, dans un arrêt du 1er août 2022, la Cour de justice de l’Union européenne (ci-après, " la CJUE ") a considéré que, même si les données en cause ne constituent pas, par nature, des données sensibles, elles doivent être considérées comme telles dès lors qu’elles sont susceptibles de dévoiler, de manière indirecte, l’orientation sexuelle de la personne concernée (CJUE, Grande Chambre, 1er août 2022, Vyriausioji tarnybinės etikos komisija, n° C184-20).
65. En l’espèce, le fait que la société collecte à la fois le sexe de la personne concernée et celui de son/sa partenaire, dans un contexte de compatibilité amoureuse, permet d’en déduire l’orientation sexuelle de cette personne. Dès lors, les données recueillies doivent être qualifiées de données sensibles, au sens de l’article 9 du RGPD. 
66. D’autre part, la formation restreinte note qu’il ressort des enregistrements transmis à la délégation de contrôle que, lors des consultations par " chat " ou SMS, les clients peuvent communiquer aux voyants certaines données sensibles, telles que des données révélant leur orientation sexuelle ou concernant leur santé. Quand bien même la société indique ne pas utiliser ces données pour une finalité spécifique, il apparait que celles-ci font bien l’objet d’un traitement, dans la mesure où elles sont collectées (via l’enregistrement des échanges par " chat " ou SMS), conservées, susceptibles d’être consultées (par exemple, en cas de contestation) et in fine supprimées. Différentes opérations de traitement visées à l’article 4, paragraphe 2 du RGPD sont ainsi effectuées en lien avec ces données.
67. Deuxièmement, la formation restreinte considère que le traitement de données sensibles recueillies à l’occasion de consultations de voyance ne peut intervenir que sur la base du consentement explicite des personnes concernées au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques, en application de l’article 9, paragraphe 2, a), du RGPD, aucune des autres conditions prévues au titre de l’article 9-2-b) à j) du RGPD n’étant mobilisable au cas d’espèce (CNIL, FR, Sanction, 8 juin 2023, SAN-2023-008, publié).
68. En effet, contrairement à ce qu’indique la société en défense, la formation restreinte relève qu’elle ne peut soutenir que le traitement mis en œuvre porterait " sur des données à caractère personnel qui sont manifestement rendues publiques par la personne concernée " (article 9, paragraphe 2, e) du RGPD). S’agissant de cette exception, les lignes directrices 8/2020 sur le ciblage des utilisateurs de medias sociaux adoptées le 13 avril 2021 par le Comité européen de la protection des données (ci-après, " le CEPD ") rappellent qu’elle implique que " les responsables de traitement puissent démontrer que la personne concernée a clairement manifesté son intention de les rendre publiques ", ce qui n’est pas le cas d’une conversation privée intervenant entre un voyant et un client.
69. S’agissant du consentement requis en application de l’article 9, paragraphe 2, a), du RGPD, la formation restreinte rappelle que le caractère explicite du consentement s’analyse au cas par cas et dépend du contexte du traitement des données sensibles. Lorsque le service demandé par l’utilisateur implique nécessairement le traitement de données sensibles, il est cependant nécessaire que l’utilisateur ait pleinement conscience de ce que ses données sensibles seront traitées et parfois conservées par le responsable de traitement, ce qui implique une information explicite sur ce point lors du recueil du consentement. 
70. La formation restreinte rappelle que selon l’article 4, alinéa 11, du RGPD, la notion de consentement s’entend comme toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l'objet d'un traitement. 
71. D’une part, la formation restreinte considère que le caractère explicite du consentement prévu à l’article 9, paragraphe 2, a) du RGPD suppose de permettre à la personne concernée de manifester, par une action positive, son assentiment au traitement de données sensibles, attestant de la matérialité de son consentement.
72. À titre d’éclairage, la formation restreinte rappelle que dans ses lignes directrices sur le consentement au sens du règlement 2016/679 du 10 avril 2018, le CEPD indique que " le RGPD stipule qu’une " déclaration ou un acte positif clair " est une condition sine qua non d’un consentement " standard ". Dès lors que les exigences pour un consentement " standard " dans le RGPD sont déjà portées à un niveau supérieur à celles de la directive 95/46/CE, il convient de préciser quels efforts complémentaires un responsable du traitement devrait entreprendre afin d’obtenir le consentement explicite d’une personne concernée conformément au RGPD. Le terme explicite se rapporte à la façon dont le consentement est exprimé par la personne concernée. Il implique que la personne concernée doit formuler une déclaration de consentement exprès. Une manière évidente de s’assurer que le consentement est explicite serait de confirmer expressément le consentement dans une déclaration écrite. Le cas échéant, le responsable du traitement pourrait s’assurer que la déclaration écrite est signée par la personne concernée afin de prévenir tout doute potentiel et toute absence potentielle de preuve à l’avenir. Une telle déclaration signée n’est toutefois pas la seule façon d’obtenir le consentement explicite […] " (lignes directrices 2016/679 WP259 rev.01 du 10 avril 2018, page 21).
73. La formation restreinte souligne qu’elle a, à plusieurs reprises, adopté des mesures correctrices à l’encontre de responsables de traitement ne recueillant pas le consentement explicite des personnes pour collecter et traiter leurs données " sensibles ", notamment dans ses délibérations n° 2016-405 du 15 décembre 2016 et n° 2016-406 du 15 décembre 2016 ainsi que dans sa délibération n° SAN-2017-006 du 27 avril 2017 dans laquelle elle a considéré que " le renseignement spontané de telles données n’exonère pas la société de l’obligation de recueillir le consentement exprès des personnes qui doivent être en mesure de manifester par une action positive leur assentiment au traitement de données sensibles, attestant ainsi que le consentement est donné en toute connaissance de cause ".
74. La formation restreinte relève donc, comme elle l’a déjà fait récemment à l’égard d’un autre organisme délivrant des prestations de voyance, que la simple volonté de recevoir ce type de prestation et le fait de livrer spontanément des informations sensibles ne constituent pas un consentement explicite des personnes concernées au traitement de leurs données, et que le responsable de traitement doit mettre à la disposition des personnes auprès desquelles il collecte des catégories particulières de données un moyen permettant de s’assurer qu’elles y consentent de manière explicite par un acte positif clair (CNIL, FR, 8 juin 2023, Sanction, SAN-2023-008, publié).
75. D’autre part, la formation restreinte rappelle que le consentement recueilli au titre de l’article 9, paragraphe 2, a) précité, du RGPD doit se lire à la lumière de la définition posée à l’article 4, paragraphe 11 précité du RGPD, ce qui implique que, pour consentir valablement, la personne concernée soit, au préalable, pleinement éclairée sur le caractère particulier des données qu’elle communique, notamment en ce que celles-ci peuvent révéler son état de santé et son orientation sexuelle, ainsi que sur l'usage qui sera fait de ces données.
76. En l’espèce, la formation restreinte note que la société ne délivre aucune information spécifique aux personnes concernées s’agissant de la collecte et du traitement des données recueillies à partir du formulaire figurant sur le site horoscope.fr et ne recueille pas leur consentement de manière explicite pour le traitement de ces données. 
77. De la même manière, dans le cadre des consultations par " chat " ou SMS, aucune information relative au traitement de telles données n’est délivrée, ni aucun consentement recueilli. 
78. Dès lors, la formation restreinte considère que la société ne fournit pas aux personnes concernées une information spécifique et ne recueillie pas leur consentement de manière explicite, de sorte qu’elle ne peut se prévaloir de l’exception à l’interdiction de collecter et traiter des catégories particulières de données prévue à l’article 9, paragraphe 2, a) du RGPD.
79. En conséquence, la formation restreinte considère qu’en l’absence de recueil du consentement préalable et explicite des clients à la collecte de leurs données sensibles, et d’une information spécifique à ce sujet, un manquement à l’article 9 du RGPD est constitué. 
3) Sur le manquement à l’obligation de recueillir le consentement des personnes concernées pour la mise en œuvre de prospection commerciale par voie électronique en application de l’article L. 34-5 du CPCE 
80. Aux termes de l’article L. 34-5 du CPCE, " est interdite la prospection directe au moyen de système automatisé de communications électroniques […], d'un télécopieur ou de courriers électroniques utilisant les coordonnées d'une personne physique […] qui n'a pas exprimé préalablement son consentement à recevoir des prospections directes par ce moyen. Pour l'application du présent article, on entend par consentement toute manifestation de volonté libre, spécifique et informée par laquelle une personne accepte que des données à caractère personnel la concernant soient utilisées à fin de prospection directe […] ".
81. Aux termes de l’article 4, paragraphe 11 du RGPD, on entend par " consentement " de la personne concernée " toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l'objet d'un traitement ".
82. En application des dispositions combinées des articles L. 34-5 du CPCE et 4, paragraphe 11 du RGPD, l’organisme qui fait réaliser des opérations de prospection commerciale par voie électronique doit disposer d’un consentement libre, spécifique, éclairé et univoque des personnes concernées. 
83. La rapporteure relève que la société a indiqué procéder à des opérations de prospection commerciale par voie électronique à destination de prospects dont les données ont été recueillies par son partenaire, la société COSMOSPACE. Elle considère que la société TELEMAQUE ne dispose pas, pour réaliser ces opérations, du consentement éclairé des personnes concernées. Elle estime en effet que, lorsque la société COSMOSPACE collecte ces données par l’intermédiaire d’un formulaire présent sur son site web cosmospace.medium.fr, aucune liste des partenaires auxquels les données sont susceptibles d’être transmises n’est aisément accessible et que, dès lors, les personnes concernées ne peuvent s’attendre à recevoir des messages de prospection de la part de la société TELEMAQUE puisqu’elles n’y ont pas valablement consenti. 
84. En défense, la société considère, en premier lieu, que l’accord de responsabilité conjointe signée avec la société COSMOSPACE permet aux deux sociétés d’adresser des courriels et SMS indifféremment aux clients et prospects de l’une et de l’autre.
85. En deuxième lieu, la société soutient qu’une liste de partenaires était bien accessible depuis le formulaire visé, et qu’aucun manquement ne peut donc être retenu. 
86. En troisième lieu, la société indique que, depuis les contrôles réalisés, le formulaire visé a évolué et que la liste des partenaires susceptibles d’adresser des courriels de prospection aux personnes concernées est désormais présentée conformément aux préconisations de la rapporteure. 
87. En quatrième et dernier lieu, la société considère qu’en tout état de cause, il apparait " quasiment impossible " de présenter aux utilisateurs une liste des partenaires, et encore moins une liste à jour. Selon elle, le fait de faire apparaître en clair une telle liste constitue une atteinte au secret des affaires et est en contradiction avec les clauses contractuelles (notamment les clauses de confidentialité) la liant à ses partenaires.
88. La formation restreinte rappelle que lorsque les données des prospects n’ont pas été collectées directement auprès d’eux par l’organisme qui prospecte, le consentement peut avoir été recueilli au moment de la collecte initiale des données par le primo-collectant, pour le compte de l’organisme qui réalisera les opérations de prospection ultérieures. À défaut, il revient à l’organisme qui prospecte de recueillir un tel consentement avant de procéder à des actes de prospection (CNIL, FR, 24 novembre 2022, Sanction, n°SAN-2022-021, publié ; CNIL, FR, 4 avril 2024, Sanction, n° SAN-2024-004, publié). 
89. En outre, pour que le consentement soit éclairé, les personnes doivent notamment être clairement informées de l’identité du prospecteur pour le compte duquel le consentement est collecté et des finalités pour lesquelles les données seront utilisées. Pour ce faire, une liste exhaustive et mise à jour des partenaires doit être tenue à la disposition des personnes au moment du recueil de leur consentement, par exemple directement sur le support de collecte ou, si celle-ci est trop longue, via un lien hypertexte renvoyant vers ladite liste à jour et les politiques de confidentialité des prestataires et fournisseurs (CNIL, FR, 24 novembre 2022, Sanction, SAN-2022-021, publié ; CNIL, FR, 12 octobre 2023, Sanction, SAN-2023-015, publié).
90. En l’espèce, il ressort de l’instruction que les sociétés TELEMAQUE et COSMOSPACE ont mis en place une base de données commune ([…]), contenant l’ensemble des données à caractère personnel de leurs clients et prospects, ce qui représentait, au 6 octobre 2022, plus de 7 millions de fiches de contact pour 1,5 million de personnes uniques (un même client ou prospect pouvant avoir plusieurs fiches, en fonction de son mode de prise de contact). Ces deux sociétés ont toutes deux confirmé traiter ces données, notamment à des fins de prospection commerciale, et ce indépendamment de la société ayant collecté lesdites données. Au cours des trois premiers trimestres 2022, la société TELEMAQUE a ainsi indiqué avoir envoyé plus 2,6 millions de SMS et plus de 1,3 millions de courriels à plus de 163 000 personnes dont les coordonnées ont été recueillies par la société COSMOSPACE dans le cadre de ses services de voyance ou sur ses sites web. 
91. La formation restreinte relève par ailleurs que, pour l’envoi de courriers électroniques et SMS aux personnes dont les données ont été recueillies par la société COSMOSPACE, la société TELEMAQUE a indiqué ne pas recueillir le consentement préalable des personnes concernées, estimant que ce recueil aurait déjà été effectué pour son compte lors de la collecte des données par la société COSMOSPACE.
92. En premier lieu, s’agissant de l’accord de responsabilité conjointe existant entre les sociétés TELEMAQUE et COSMOSPACE, et dont la société se prévaut dans ce cadre, la formation restreinte rappelle que, malgré le statut de responsables conjoints défini contractuellement par les deux sociétés pour la gestion de leur base de données commune contenant les données de leurs clients et prospects, chaque société est responsable des opérations effectuées pour son propre compte à partir de cette base, notamment les opérations de prospection commerciale (CNIL, FR, 28 décembre 2021, Sanction, SAN-2021-021, publié).
93. Dès lors, l’existence d’un tel accord n’exonère pas les sociétés signataires de la nécessité de disposer du consentement libre, spécifique, éclairé et univoque des personnes concernées pour l’utilisation de leurs données à des fins de prospection commerciale par voie électronique, lorsque celles-ci n’ont pas été recueillies directement par l’organisme prospecteur.
94. En second lieu, s’agissant de la validité du consentement recueilli par la société COSMOSPACE, et dont la société TELEMAQUE se prévaut pour fonder ses opérations de prospection commerciale par voie électronique, la formation restreinte observe qu’il ressort des constatations réalisées lors du contrôle en ligne du 15 novembre 2021 que le formulaire mis en œuvre par la société COSMOSPACE à partir du site web cosmospace.medium.fr comportait une case à cocher autorisant sans distinction la prospection par la société COSMOSPACE, pour son propre compte, et celle susceptible d’être réalisée par ses partenaires, sans les identifier.
95. En effet, la formation restreinte relève d’abord que le texte accompagnant cette case (" en cochant cette case, vous acceptez de recevoir vos prédictions, offres et promotions exclusives par mail, téléphone et SMS de la part de Cosmospace et de ses partenaires ") ne mentionnait pas la société TELEMAQUE et qu’il ne comportait pas davantage de lien URL permettant d’accéder à la liste des partenaires auxquels les données étaient susceptibles d’être transmises. La formation restreinte observe ensuite que, si un lien intitulé " en savoir plus sur le traitement de vos données personnelles et vos droits " permettait bien d’obtenir des informations complémentaires en lien avec l’existence de partenaires, ces informations n’étaient toutefois pas facilement accessibles. En effet, ce lien était situé plus loin sur le formulaire d’inscription, à la fin d’une mention informant les personnes concernées de leur possibilité de se désinscrire pour ne plus recevoir d’emails ou de SMS. En utilisant le lien " en savoir plus sur le traitement de vos données personnelles et vos droits ", il était possible d’accéder à une page du même nom, mentionnant que " le traitement des données à caractère personnel collectées par medium.fr est géré par la société COSMOSPACE et par son partenaire la société TELEMAQUE ". Ce lien, situé à distance de la case à cocher, ne permettait pas aux utilisateurs d’être informés clairement de l’identité du prospecteur auquel les données étaient susceptibles d’être
transmises. En outre, si les informations figurant sur la page " en savoir plus sur le traitement de vos données personnelles et vos droits " mentionnaient bien l’existence de la société TELEMAQUE, en sa qualité de partenaire de la société COSMOSPACE, les termes utilisés ne faisaient nullement référence à la notion de prospection commerciale, si bien que les utilisateurs ne pouvaient, même à la lecture de ce texte, s’attendre à être démarchés par la société TELEMAQUE.
96. Il ressort de l’ensemble de ces éléments que la société TELEMAQUE ne pouvait se prévaloir, pour réaliser ses opérations de prospection commerciale, du consentement recueilli par la société COSMOSPACE par le biais du formulaire mis en œuvre sur le site cosmospace.medium.fr au moment du contrôle en ligne du 15 novembre 2021, celui-ci ne permettant pas la manifestation d’un consentement éclairé pour le compte de la société TELEMAQUE. 
97. La formation restreinte note que, dans le cadre de ses observations écrites du 12 avril 2024, la société a indiqué que le formulaire figurant sur le site cosmospace.medium.fr avait été modifié depuis les opérations de contrôle, et avant l’engagement de la procédure de sanction, présentant sa nouvelle version comme conforme aux exigences requises en matière de consentement pour pouvoir mener les opérations de prospection visées à l’article L. 34-5 du CPCE. 
98. Or, la formation restreinte relève que ledit formulaire ne permettait pas davantage aux personnes concernées de manifester leur consentement de manière éclairée.
99. Un contrôle en ligne réalisé le 23 avril 2024 a en effet permis de constater que la case à cocher permettant de recueillir le consentement était accompagnée du texte " je donne mon consentement exprès(3) pour recevoir des offres de voyance par téléphone, email, SMS ou Whatsapp ". La formation restreinte observe, d’une part, que si la liste des partenaires figurait désormais sur la même page que le formulaire, seul un chiffre accolé au terme " exprès ", mentionné sous la forme d’un exposant, en très petit caractère et peu lisible, renvoyait à une note de bas de page, située à distance du formulaire (et sur une partie non visible de la page lorsque le formulaire était affiché), dans laquelle figurait ladite liste. La formation restreinte considère que, compte tenu de ces éléments, l’utilisateur pouvait aisément ne pas voir ce chiffre, ne pas y prêter attention ou ne pas s’y attarder et, dès lors, ne pas se référer au contenu de la note. 
100. D’autre part, la formation restreinte relève que, dans cette seconde formulation accompagnant la case à cocher, ne figurait plus aucune référence à la notion de " partenaires ", la seule mention " je donne mon consentement exprès pour recevoir des offres de voyance par téléphone, email, SMS ou Whatsapp " laissant entendre à l’utilisateur que ces offres émaneraient exclusivement de la société COSMOSPACE.
101. Il apparait dès lors que, pour ces deux formulaires, le consentement recueilli par la société COSMOSPACE n’apparaissait pas suffisamment éclairé pour permettre à la société TELEMAQUE de s’en prévaloir dans le cadre de ses opérations de prospection commerciale par voie électronique. 
102. Dans ces conditions, la formation restreinte considère que, faute pour la société TELEMAQUE de disposer, pour réaliser ses opérations de prospection commerciale par voie électronique, du consentement éclairé des personnes dont les données ont été recueillies par la société COSMOSPACE, un manquement à l’article L. 34-5 du CPCE est constitué. 
103. La formation restreinte relève néanmoins que, depuis les derniers contrôles réalisés, il apparait que la société COSMOSPACE a de nouveau modifié le formulaire visé. Il résulte des derniers éléments communiqués que le texte accompagnant la case à cocher permettant de recueillir le consentement des utilisateurs à l’utilisation de leurs données à des fins de prospection commerciale vise désormais explicitement la société TELEMAQUE (" je donne mon consentement exprès pour recevoir des offres de voyance par téléphone, email, SMS ou WhatsApp par la société Cosmospace et ses partenaires Telemaque, […], […] et […] "). Si la formation restreinte prend acte de cette mise en conformité, le manquement apparait néanmoins constitué pour le passé. 
III. SUR LE PRONONCÉ DE MESURES CORRECTRICES ET LEUR PUBLICITÉ
104. Aux termes de l’article 20 de la loi n° 78-17 du 6 janvier 1978 modifiée, " lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l'informatique et des libertés peut […] saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l'une ou de plusieurs des mesures suivantes : […] 7° À l'exception des cas où le traitement est mis en œuvre par l'État, une amende administrative ne pouvant excéder 10 millions d'euros ou, s'agissant d'une entreprise, 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l'article 83 du règlement (UE) 2016/679 du 27 avril 2016, ces plafonds sont portés, respectivement, à 20 millions d'euros et 4 % dudit chiffre d'affaires. La formation restreinte prend en compte, dans la détermination du montant de l'amende, les critères précisés au même article 83 ".