AgentPublic/cnil huggingface dataset:
38. Enfin, la formation restreinte souligne que les travaux conduits par la Commission sur les pratiques mises en œuvre en matière de cookies s’agissant des bannières de recueil du consentement peuvent utilement servir à apprécier de manière plus générale les conditions de recueil d’un consentement libre, univoque, spécifique et éclairé, et servir de référence en matière de prospection commerciale lorsqu’elle est fondée sur le recueil du consentement. Il convient en effet de rappeler que les règles générales relatives aux conditions de validité du consentement, tirées notamment de l’article 4 du RGPD, n’ont pas vocation à différer en fonction du secteur concerné et que la CNIL n’est pas tenue de prendre des recommandations spécifiques à chaque secteur. A cet égard, la délibération n° 2020-091 du 17 septembre 2020 portant adoption de lignes directrices relatives aux cookies et autres traceurs rappelle expressément que le consentement exigé par l’article 82 de la loi Informatique et Libertés renvoie à la définition et aux conditions prévues aux articles 4.11 et 7 du RGPD (§ 5 et 6).
39. Ainsi, à titre d’illustration et de comparaison, la formation restreinte note que dans sa délibération n° 2020-092 du 17 septembre 2020 portant adoption d’une recommandation proposant des modalités pratiques de mise en conformité en cas de recours aux cookies et autres traceurs , la Commission recommande aux organismes concernés de s’assurer que les utilisateurs prennent la pleine mesure des options qui s’offrent à eux, notamment au travers du design choisi et de l’information délivrée (§ 10) […] Afin de ne pas induire en erreur les utilisateurs, la Commission recommande que les responsables de traitement s’assurent que les interfaces de recueil des choix n’intègrent pas de pratiques de design potentiellement trompeuses laissant penser aux utilisateurs que leur consentement est obligatoire ou qui mettent visuellement plus en valeur un choix plutôt qu’un autre. Il est recommandé d’utiliser des boutons et une police d’écriture de même taille, offrant la même facilité de lecture, et mis en évidence de manière identique (§ 34). Elle ajoute qu’il convient d’être attentif à ce que l’information accompagnant chaque élément actionnable permettant d’exprimer un consentement ou un refus soit facilement compréhensible et ne nécessite pas d’efforts de concentration ou d’interprétation de la part de l’utilisateur. Ainsi, il est notamment recommandé de s’assurer qu’elle n’est pas rédigée de telle manière qu’une lecture rapide ou peu attentive pourrait laisser croire que l’option
sélectionnée produit l’inverse de ce que les utilisateurs pensaient choisir. (§ 23). A défaut, le caractère univoque du consentement ne serait pas caractérisé.
40. La formation restreinte remarque également que des études menées sur les pratiques des interfaces numériques, en particulier concernant les cookies, relèvent l’impact considérable de l’apparence des bannières de recueil du consentement sur le choix des utilisateurs, pouvant inciter ces derniers à faire des choix ne reflétant pas leurs préférences sur le partage des données.
41. En outre, contrairement à ce que soutient la société, la formation restreinte relève que la décision de sanction du 29 décembre 2023 (CNIL, FR, 29 décembre 2023, SAN-2023-025, publiée) est fondée sur l’ensemble des éléments susvisés, sans poser aucune exigence nouvelle. Elle ne fait qu’appliquer des règles pré-existantes que la société était parfaitement en mesure d’appréhender. 
42. Il ressort ainsi de l’ensemble de ces éléments que les règles relatives au consentement des personnes concernées sont bien antérieures aux opérations de contrôle menées à l’encontre de la société CALOGA et qu’elles apparaissaient suffisamment claires et précises pour permettre à cette dernière d’apprécier la validité du consentement recueilli par ses partenaires et sur lequel elle se fonde pour réaliser ses opérations de prospection.
1.2 Sur les obligations pesant sur la société CALOGA
43. La société reproche à la rapporteure de vouloir instaurer un régime de responsabilités solidaires, non prévu par les textes, entre elle et ses partenaires primo-collectants. Elle considère en effet que sa responsabilité ne doit pas s’apprécier au regard de la licéité des mécanismes de recueil du consentement mis en œuvre par ses partenaires – ces derniers ayant, seuls, la maîtrise des supports de collecte qu’ils éditent –, mais au regard des obligations qui lui incombaient, en propre, au moment des constats. 
44. A cet égard, elle soutient que le cadre juridique applicable à l’époque du contrôle ne permettait pas aux acteurs du marketing digital de rendre prévisibles les obligations pesant sur chacun d’eux, l’exigence de procéder à des vérifications des conditions de recueil du consentement par les destinataires des données n’ayant été posée, selon elle, qu’à l’occasion des décisions rendues par la formation restreinte que postérieurement aux contrôles.
45. La société considère en tout état de cause avoir mis en œuvre les mesures nécessaires pour s’assurer de disposer d’un consentement valable, au regard des règles et recommandations applicables à l’époque du contrôle. Elle souligne à cet égard avoir, d’une part, encadré ses relations contractuelles avec ses partenaires primo-collectants et, d’autre part, procédé à des vérifications sur les formulaires mis en œuvre.
46. La formation restreinte relève que le secteur du courtage en données se caractérise par l’existence d’une chaîne de traitements faisant intervenir plusieurs acteurs, avec comme point de départ la collecte des données par les primo-collectants, suivie de leur transmission à un ou plusieurs partenaires pour permettre à ces derniers de réaliser des opérations de prospection commerciale. Dans ce cadre, chacun des organismes impliqués doit, en fonction de sa responsabilité propre, s’assurer de la licéité des opérations auxquelles il participe dans cette chaîne de traitements. 
47. La formation restreinte rappelle qu’en application des dispositions combinées des articles L. 34-5 du CPCE et 4 du RGPD, cette licéité exige, pour le responsable de traitement qui entend réaliser ou faire réaliser des opérations de prospection commerciale par voie électronique, de disposer d’un consentement univoque, spécifique, libre et informé des personnes concernées.
48. Lorsque les données des prospects n’ont pas été collectées directement auprès d’eux par le responsable de traitement de la prospection, ce consentement peut avoir été recueilli au moment de la collecte initiale des données par le primo-collectant, pour le compte du responsable de traitement. À défaut, il revient au responsable de traitement de recueillir ou faire recueillir un tel consentement avant de procéder à des actes de prospection (CNIL, FR, 24 novembre 2022, Sanction, n° SAN-2022-021, publié ; délibération n° 2021-131 du 23 septembre 2021 portant adoption d’un référentiel relatif aux traitements de données à caractère personnel mis en œuvre aux fins de gestion des activités commerciales).
49. A cet égard, la formation restreinte a retenu la responsabilité d’un organisme en considérant qu’un simple engagement contractuel de l’organisme fournissant les données de respecter le RGPD et les règles applicables en matière de prospection commerciale ne constituait pas une mesure suffisante (CNIL, FR, 24 novembre 2022, Sanction, n° SAN-2022-021, publié ; CNIL, FR, 31 janvier 2024, Sanction, n° SAN-2024-003, publié ; CNIL, FR, 4 avril 2024, Sanction, n° SAN-2024-004, publié).
50. La formation restreinte insiste sur le fait qu’à l’instar des règles régissant les conditions de validité du consentement, ces exigences ne sont pas nouvelles et qu’elles découlent des textes auxquels tout organisme qui entend réaliser des opérations de prospection commerciale par voie électronique est soumis en sa qualité de responsable de traitement.
51. En l’espèce, c’est bien la société CALOGA qui, en tant que responsable de traitement de la base de données qui sert à la prospection, et en tant que responsable de traitement en aval d’opérations de prospection directe par voie électronique, se trouve soumise aux dispositions de l’article L. 34-5 du CPCE (et non les primo-collectants qui, eux, ne prospectent pas directement les personnes concernées) lequel exige clairement, depuis la transposition en droit français de la directive ePrivacy en 2004, de recueillir le consentement des personnes concernées. Il lui appartient donc, à ce titre, de garantir la licéité de ces opérations en s’assurant de la validité du consentement dont elle entend se prévaloir ou, à défaut, en recueillant elle-même ledit consentement. Il convient de souligner que l’article 7 du RGPD prévoit à cet égard que dans les cas où le traitement repose sur le consentement, le responsable de traitement est en mesure de démontrer que la personne concernée a donné son consentement au traitement de données à caractère personnel la concernant.
52. Par ailleurs, la formation restreinte rappelle que, quel que soit l’organisme qui se charge de recueillir le consentement des personnes concernées, la validité de ce dernier – et donc la licéité des traitements fondés sur un tel consentement – ne peut s’apprécier qu’au moment de son recueil ce qui suppose, en l’espèce, d’examiner les formulaires de collecte mis en œuvre par les partenaires de la société. 
53. Ainsi, dans la mesure où la société CALOGA a fait le choix de ne pas recueillir elle-même ce consentement et de se prévaloir de celui recueilli par ses partenaires, le fait de s’assurer de la validité dudit consentement passe nécessairement par un contrôle des mécanismes de recueil mis en œuvre par les primo-collectants. 
2. Sur la caractérisation du manquement
54. La formation restreinte relève que, pour constituer ses bases de données VOZEKO, ZEPLAN, BASYLO, CALOGA, la société récupère les adresses électroniques de prospects auprès de partenaires primo-collectants - les sociétés […] - qui les collectent en organisant des jeux-concours, offres de tests de produits, sondages etc.
55. Elle note que, dans les politiques de confidentialité accessibles par le biais des sites web édités par la société CALOGA pour chacune de ses bases de données, il est précisé que les données des prospects lui ont été transmises à la suite d’une participation à un jeu-concours ou à toute autre opération de collecte sur un site édité par une société tierce, mentionnant les bases de données VOZEKO, ZEPLAN, BASYLO, CALOGA en sa qualité de partenaire / sponsor de l’opération, la base légale du traitement de ces données étant le consentement.
56. La formation restreinte relève également que l’instruction a permis d’établir qu’en 2022, la société CALOGA a prospecté 2 315 189 personnes pour la société […] (sur la base de 2287 formulaires), 1 970 942 personnes pour la société […] (sur la base de 2259 formulaires), 2 050 706 personnes pour la société […] (sur la base de 2255 formulaires). Les données de ces prospects ont été collecté par le biais de formulaires essentiellement édités par les sociétés […] et […].
57. Parmi les 3 653 formulaires transmis par la société dont certains présentent des aspects identiques, la formation restreinte observe qu’au moins 21 d’entre eux proposent à l’utilisateur un bouton validant à la fois sa participation au jeu concours et l’utilisation de ses données pour recevoir des offres de la part de partenaires de la société organisatrice du jeu.
58. Après avoir complété ses coordonnées, l’utilisateur a le choix entre cliquer sur un bouton JE PARTICIPE ou JE VALIDE (pouvant aussi s’intituler CONTINUER , VALIDER MA PARTICIPATION , situé au bas du formulaire et permettant à la fois de valider sa participation au jeu et de consentir à ce que ses données soient transmises à des partenaires et utilisées par ces derniers à des fins de prospection commerciale, ou cliquer sur un lien permettant de participer uniquement au jeu-concours, en refusant la transmission et l’utilisation de ses données à des fins de prospection commerciale (lien pouvant être contenu dans la phrase pour participer sans recevoir les offres des sponsors, cliquez ici , ou encore pour participer sans recevoir les offres des sponsors et de leurs partenaires, cliquez ici ).
59. La formation restreinte considère que tels qu’ils sont conçus, les formulaires proposés ne permettent pas aux personnes concernées d’exprimer de manière valable un choix reflétant leurs préférences en matière de transmission et d’utilisation de leurs données à des fins de prospection commerciale. En effet, l’aperçu global des interfaces met particulièrement en valeur les boutons de type CONTINUER ou VALIDER qui, par leur taille – nettement supérieure au reste des mentions – et leur couleur – qui tranche avec le fond utilisé –, se distinguent des autres informations délivrées. De même, leur intitulé évoque davantage la conclusion du parcours utilisateur plutôt qu’une utilisation des données à des fins de prospection commerciale dans la mesure où, en langage courant, on valide les informations renseignées dans un formulaire et on autorise , on accepte une utilisation de données. Enfin, leur emplacement donne l’impression de devoir obligatoirement être cliqués pour terminer l’inscription et participer au jeu-concours. A contrario, le lien hypertexte permettant de participer au jeu sans accepter l’utilisation de ses données par les partenaires est présenté dans le corps du texte situé au-dessus ou en-dessous des boutons d’acceptation, en caractères d’une taille nettement inférieure à celle utilisée pour les boutons et sans mise en valeur particulière, de sorte qu’il n’apparait pas intuitif qu’il est possible de participer sans cliquer sur l’un des boutons précités et donc
sans transmettre ses données à des tiers à des fins de prospection. Le consentement recueilli est, dans ces conditions, dépourvu de caractère univoque et libre.
60. La formation restreinte considère que l’utilisateur n’est pas mis à même de pouvoir donner son consentement en toute connaissance de cause, de manière libre et univoque, après une information adéquate sur l’usage de ses données. L’apparence trompeuse des formulaires l’incite à donner son consentement à l’utilisation de ses données à des fins de prospection.
61. Par ailleurs, la formation restreinte rappelle que, si la conception de ces formulaires ne lui est pas imputable, en tant que telle, la société aurait dû, comme indiqué aux points 46 à 50 de la présente délibération, s’assurer de la validité du consentement dont elle entend se prévaloir pour réaliser ses opérations de prospection.
62. La formation restreinte note que la société a mis en place des mesures de vérifications dès 2014 puis a procédé à une mise à jour de ces mesures en 2018 avec l’entrée en application du RGPD. A la date des contrôles, ces mesures de vérification portaient sur un engagement contractuel des primo-collectants permettant d’exiger qu’un consentement valable a été recueilli pour permettre la transmission des données. Avant chaque signature de contrat, la société procédait à une vérification des pratiques du primo-collectant. En cours de contrat, la société vérifiait la conformité des opérations de collecte organisées par les primo-collectants, c’est-à-dire les mentions d’information, le type de données collectées, la présence d’un lien pour participer sans consentir aux finalités de prospection et la présence du nom de la marque associée à une base de données dans la liste des destinataires. La société a toutefois indiqué que, dans le cadre de la procédure de contrôle, pour certains partenaires primo-collectants, les vérifications sont effectuées à la conclusion du partenariat et que l’ensemble des opérations est validé par défaut, la société ne procédant pas à des vérifications sur tous les formulaires, ce qu’elle confirme dans ses écritures. C’est le cas notamment du partenaire […], lequel transmet le plus grand nombre de données de prospects à la société.
63. La formation restreinte relève à cet égard que la société a indiqué, d’une part, avoir prévu dans ses relations contractuelles avec ses partenaires primo-collectants que ces derniers s’engageaient à recueillir valablement le consentement des personnes concernées et, d’autre part, avoir mis en place depuis 2018 certaines procédures de vérifications des formulaires de collecte. S’agissant du cadre contractuel, la formation restreinte relève que les clauses contenues dans les contrats passés avec ses partenaires apparaissent très générales – ces derniers s’engageant à recueillir valablement le consentement des personnes concernées, à documenter ledit consentement et à en transmettre la trace à CALOGA. La société destinataire des données ne peut s’en contenter et se doit d’opérer des vérifications concrètes sur les conditions de recueil du consentement sur lequel elle entend se fonder pour réaliser ses opérations de prospection. A cet égard, la formation restreinte relève que la société a bien procédé à l’examen régulier des formulaires de collecte mis en œuvre par ses partenaires. Néanmoins, les constatations réalisées montrent que les vérifications n’ont pas été effectuées à une fréquence suffisamment élevée au regard du nombre de formulaires de collecte utilisés et, qu’en tout état de cause, la société n’en a pas tiré les conséquences qui s’imposaient quant à l’absence de validité du consentement recueilli et a continué à utiliser les données transmises pour réaliser ses
opérations de prospection commerciale. Il apparait en effet qu’au regard des pièces figurant au dossier, les formulaires analysés dans le cadre de la procédure de contrôle ne permettait pas de recueillir un consentement valable des personnes concernées, alors même que les vérifications opérées par la société avaient débuté plusieurs mois auparavant.
64. Il ressort de ce qui précède que, faute pour la société de disposer d’un consentement valable des personnes concernées pour constituer une base de contacts à des fins de prospection commerciale et l’utiliser, s’agissant des coordonnées recueillies par les sociétés […] et […], la société CALOGA a commis un manquement aux dispositions de l’article L.34-5 du CPCE.
D. Sur le manquement à l’obligation de respecter le droit au retrait du consentement en application de l’article L. 34-5 du CPCE
65. En droit, l’article L. 34-5 du CPCE, qui transpose la directive ePrivacy laquelle fait référence à la notion de consentement au sens de l’article 4 paragraphe 11 du RGPD, prévoit qu’ est inter-dite la prospection directe au moyen de système automatisé de communications électroniques […], d'un télécopieur ou de courriers électroniques utilisant les coordonnées d'une personne phy-sique […] qui n'a pas exprimé préalablement son consentement à recevoir des prospections di-rectes par ce moyen. Pour l'application du présent article, on entend par consentement toute ma-nifestation de volonté libre, spécifique et informée par laquelle une personne accepte que des don-nées à caractère personnel la concernant soient utilisées à fin de prospection directe […]. En outre, aux termes de l’alinéa 5 de l’article L. 34-5 du CPCE, dans tous les cas, il est interdit d'émettre, à des fins de prospection directe, des messages au moyen de système automatisé de communications électroniques au sens du 6° de l'article L. 32, télécopieurs et courriers électro-niques, sans indiquer de coordonnées valables auxquelles le destinataire puisse utilement trans-mettre une demande tendant à obtenir que ces communications cessent sans frais autres que ceux liés à la transmission de celle-ci .
66. L’article L. 34-5 du CPCE conditionne donc la réalisation d’opérations de prospection directe au consentement du destinataire et prévoit de manière corrélative le droit à l’intéressé de retirer son consentement en transmettant une demande tendant à obtenir que les communications de pros-pection cessent. L’intéressé peut ainsi revenir sur son choix d’avoir accepté la réalisation d’opérations de prospection.
67. Le retrait du consentement des prospects en matière de prospection par voie électronique et ses modalités s’analysent au regard des dispositions de l’article 7 paragraphe 3 du RGPD, applicable s’agissant des dispositions de l’article L. 34-5 du CPCE dans la mesure où la directive ePriva-cy prévoit en son article 2 (f) que le consentement d’un utilisateur ou d’un abonné correspond au consentement de la personne concernée figurant dans la directive 95/46/CE, à laquelle s’est substitué le RGPD. Pour ce faire, les lignes directrices n° 5/2020 sur le consentement au sens du RGPD, adoptées le 4 mai 2020 par le CEPD, peuvent constituer une source d’inspiration.
68. Selon l’article 7 paragraphe 3 du RGPD, la personne concernée a le droit de retirer son consen-tement à tout moment. Le retrait du consentement ne compromet pas la licéité du traitement fondé sur le consentement effectué avant ce retrait. La personne concernée en est informée avant de donner son consentement. Il est aussi simple de retirer que de donner son consentement .
69. Dans ses lignes directrices n° 5/2020 sur le consentement au sens du RGPD adoptées le 4 mai 2020, le CEPD indique que : La personne concernée devrait également être en mesure de reti-rer son consentement sans subir de préjudice. Cela signifie, entre autres, qu’un responsable du traitement doit proposer la possibilité de retirer son consentement gratuitement ou sans entraîner la diminution du niveau de service (point 114). Cette disposition se lit à la lumière du considé-rant 42 de ce Règlement qui prévoit que : le consentement ne devrait pas être considéré comme ayant été donné librement si la personne concernée ne dispose pas d'une véritable liberté de choix ou n'est pas en mesure de refuser ou de retirer son consentement sans subir de préjudice .
70. La rapporteure relève que les prospects peuvent donner leur consentement à recevoir les offres de partenaires de CALOGA, par le biais des formulaires de collecte, en un seul clic. Leurs don-nées sont ensuite stockées dans les différentes bases de données de la société CALOGA. S’il est possible à l’utilisateur de se désabonner, lors de la réception d’un courriel, en cliquant sur le lien de désinscription, ce désabonnement ne vaudra que pour la base de données à partir de laquelle le courriel lui a été envoyé ou pour un annonceur final au nom duquel le courriel a été envoyé. Pour se désabonner des offres adressées par la société CALOGA en intégralité, il est nécessaire d’envoyer un courriel à la société CALOGA. La rapporteure considère qu’il n’est ainsi pas aussi simple de retirer son consentement que de le donner dans la mesure où il n’est pas possible de retirer son consentement à recevoir des offres issues de toutes les bases de données de la société CALOGA en un seul clic, alors que les prospects donnent leur consentement en un seul clic pour recevoir toutes les offres de partenaires adressées par CALOGA.
71. La société affirme que des liens insérés dans les courriels de prospection permettent de se désinscrire pour ne plus recevoir du contenu publicitaire d’un annonceur ou d’une base de don-nées spécifique. Elle précise que via l’adresse dpo@caloga.com , il est possible de solliciter un retrait du consentement pour l’ensemble des bases de données.
72. En outre, la société remet en question l’existence à un droit absolu au retrait du consentement dès lors que le consentement peut être donné, en un seul clic, à une multitude de partenaires. Elle interroge de ce fait l’obligation qui pèse sur l’ensemble de ces partenaires de prendre en compte le retrait du consentement et affirme s’être conformée aux préconisations de la CNIL publiées sur son site en matière de transmission de données à des partenaires.
73. En l’espèce, la formation restreinte relève que la société organise ses traitements autour de quatre bases de données : CALOGA, ZEPLAN, BASYLO et VOZEKO, qui comprennent cha-cune plus d’un million d’entrées, avec des doublons. Lorsque les prospects donnent leur consen-tement en un seul clic à la collecte de leurs données à des fins de prospection, ces données peu-vent être envoyées vers une ou deux bases de données de la société CALOGA. Ces bases de données sont présentées comme des partenaires différents dans les listes des partenaires des formulaires de collecte mis en œuvre par les primo-collectants.