AgentPublic/cnil huggingface dataset:
71. La formation restreinte relève à cet égard que la société a indiqué avoir, d’une part, prévu dans ses relations contractuelles avec ses partenaires primo-collectants que ces derniers s’engagent à recueillir valablement le consentement des personnes concernées et, d’autre part, avoir mis en place depuis le début de l’année 2022 certaines procédures de vérifications des formulaires de collecte. S’agissant du cadre contractuel, la formation restreinte relève que les clauses contenues dans les contrats passés avec ses partenaires apparaissent très générales – ces derniers s’engageant à recueillir valablement le consentement des personnes concernées, à documenter ledit consentement et à en transmettre la trace à SOMS – et qu’en tout état de cause, quelles que soient les clauses contractuelles entourant ces relations, la société destinataire des données ne peut s’en contenter et se doit d’opérer des vérifications concrètes sur les conditions de recueil du consentement sur lequel elle entend se fonder pour réaliser ses opérations de prospection. S’agissant de ces vérifications, la société a indiqué procéder à l’examen régulier des formulaires de collecte mis en œuvre par ses partenaires. Néanmoins, les constatations réalisées démontrent que ces vérifications étaient manifestement insuffisantes et qu’en tout état de cause, la société n’en a pas tiré les conséquences qui s’imposaient quant à l’absence de validité du consentement recueilli et a continué à utiliser les données
transmises pour réaliser ses opérations de prospection commerciale. Il apparait en effet qu’au regard des pièces figurant au dossier, aucun des formulaires transmis dans le cadre de la procédure de contrôle ne permettait de recueillir un consentement valide des personnes concernées, alors même que les vérifications opérées par la société avaient débuté plusieurs mois auparavant.
72. Dans ces conditions, faute pour la société de disposer d’un consentement valide des personnes concernées pour réaliser ses opérations de prospection commerciale par voie électronique, un manquement à l’article L. 34-5 du CPCE est constitué.
73. Pour ses opérations de prospection commerciale par voie électronique à venir, la société devra tirer les conséquences du manquement relevé, en s’abstenant de réaliser ces opérations sans disposer d’un consentement valable pour ce faire.
2 .Sur le manquement à l’obligation d’être en mesure de démontrer que la personne concernée a donné son consentement (données fournies par la société [X3]) 
74. L’article 7, paragraphe 1 du RGPD dispose que "dans les cas où le traitement repose sur le consentement, le responsable du traitement est en mesure de démontrer que la personne concernée a donné son consentement au traitement de données à caractère personnel la concernant .
75. A titre d’illustration, ainsi que le souligne le Comité européen de la protection des données dans ses lignes directrices 5/2020 sur le consentement, adoptées le 4 mai 2020, ces dispositions font reposer la charge de la preuve sur le responsable de traitement, à qui "il incombe de prouver qu’un consentement valable a été obtenu de la part de la personne concernée "(107). "Le responsable du traitement peut par exemple conserver une trace des déclarations de consentement reçues afin de pouvoir attester la façon dont le consentement a été obtenu, du moment où il a été obtenu et des informations fournies à la personne concernée à l’époque. Le responsable du traitement doit être en mesure de démontrer que la personne concernée a été informée et que le flux de travail respectait tous les critères pertinents pour un consentement valable. La raison de cette obligation établie par le RGPD est que les responsables de traitement doivent répondre de l’obtention d’un consentement valable de la part des personnes concernées et des mécanismes de consentement qu’ils ont établis "(108).
76. Les lignes directrices susvisées rappellent également que "les responsables de traitement sont libres de développer les méthodes adaptées à leurs opérations quotidiennes pour se conformer à cette disposition […] (106) Le RGPD ne prescrit pas précisément comment cela doit être fait. Le responsable de traitement doit toutefois être en mesure de prouver qu’une personne concernée a donné son consentement dans un cas spécifique "(107).
77. En application des dispositions de l’article 7 du RGPD, combinées à celles de l’article L. 34-5 du CPCE, le responsable de traitement des opérations de prospection commerciale par voie électronique doit disposer d’un consentement univoque, spécifique, libre et informé des personnes concernées et être en mesure de le démontrer. Dans l’hypothèse où les données des prospects n’ont pas été collectées directement auprès d’eux par l’organisme qui prospecte et que le consentement a été recueilli, pour le compte du responsable de traitement, par le primo-collectant, il appartient bien à l’organisme qui prospecte de prouver qu’il dispose de ce consentement (CNIL, FR, 2 novembre 2022, Sanction, n° SAN-2022-021, publié ; CNIL, FR, 12 octobre 2023, Sanction, n° SAN-2023-015, publié).
78. Le rapporteur relève que la société n’a pas été en capacité de fournir à la délégation les éléments attestant des conditions de recueil du consentement des personnes dont les données lui ont été transmises par la société [X3]. Il considère que, puisque la société fonde ses opérations de prospection commerciale par voie électronique sur un tel consentement, elle devrait être en mesure d’en apporter la preuve et qu’à défaut, un manquement à l’article 7 du RGPD apparait constitué.
79. En défense, la société soutient que les dispositions de l’article 7 du RGPD doivent être interprétées comme imposant au responsable de traitement de pouvoir apporter la preuve individuelle du consentement d’une personne unique, et non une preuve globale des mécanismes de recueil du consentement mis en œuvre.
80. S’agissant de la preuve individuelle du consentement, elle indique que ses partenaires primo-collectants se sont engagés contractuellement à conserver ladite preuve et à lui transmettre à première demande, sans qu’il puisse lui être imposé de conserver elle-même les preuves du consentement. Elle souligne avoir toujours été en mesure de répondre favorablement aux demandes lui ayant été adressées par les personnes concernées.
81. S’agissant de la preuve de l’existence de mécanismes de consentement valable, qu’elle qualifie de "preuve globale , elle considère qu’elle ne relève pas de l’article 7 du RGPD et qu’il existe un concours d’infractions entre le manquement qui lui est reproché au regard de ces dispositions et celui à l’article L. 34-5 du CPCE. Elle soutient qu’en tout état de cause, elle ne peut être tenue pour responsable du non-respect des engagements de son partenaire, la société [X3], dans la mesure où elle-même a respecté les obligations lui incombant.
82. En l’espèce, la formation restreinte relève qu’en 2022, plus de 100 000 personnes dont les données lui ont été transmises par la société [X3] ont été démarchées par SOMS par courrier électronique, et plus de 1,1 million par SMS. La société a indiqué que la société [X3] était chargée contractuellement de recueillir, pour son compte, le consentement des personnes concernées, d’en conserver la preuve et de lui transmettre cette preuve à première demande. La formation restreinte observe que la société n’a pas été en mesure de fournir à la délégation les informations sollicitées portant sur le nombre de formulaires ayant permis de collecter les données des personnes physiques démarchées, et pour chacun des formulaires, le nombre de personnes uniques dont les données ont été collectées par ce formulaire et qui ont reçu de la prospection par voie électronique, les scripts ou modèles permettant de générer l’ensemble de ces formulaires de collecte ou, à défaut, les captures d’écran de chacun desdits formulaires. Elle a indiqué que "malgré [ses] demandes écrites et [ses] échanges avec la société [X3], [elle] n’av[ait] pas réussi à obtenir de retour de leur part dans les délais impartis .
83. Premièrement, la formation restreinte relève que le manquement qui est reproché à la société au titre de l’article 7 du RGPD et celui qui lui est reproché au titre de l’article L. 34-5 du CPCE procèdent de deux comportements bien distincts et portent sur des faits distincts et ne sont, dès lors, pas susceptibles de se confondre. En effet, il ressort de l’instruction que la société a été en mesure de fournir la preuve des mécanismes de recueil du consentement des personnes dont les données lui ont été transmises par deux de ses partenaires, les sociétés [X1] et [X2]. Néanmoins, dans la mesure où il a été constaté que ces mécanismes ne permettaient pas de recueillir un consentement libre, spécifique, éclairé et univoque, la société ne pouvait s’en prévaloir pour fonder ses opérations de prospection par voie électronique et, dès lors, un manquement à l’article L. 34-5 du CPCE apparait constitué.
84. En ce qui concerne les données fournies par la société [X3], le grief est différent dans la mesure où la société SOMS, qui fonde son traitement sur le consentement qui aurait été recueilli par la société [X3], n’a pas été en capacité de fournir à la délégation de contrôle de preuve du consentement donné par les personnes dont les données lui ont été transmises par ce partenaire. Cet état de fait a placé la CNIL dans l’impossibilité d’examiner la validité des conditions de recueil dudit consentement et la société dans l’incapacité de prouver son respect des obligations découlant de l’article 7, paragraphe 1 du RGPD.
85. La formation restreinte relève ainsi que les deux manquements en cause concernent des données, des fournisseurs et des comportements bien distincts et que la société ne peut dès lors se prévaloir de l’existence d’un concours de qualifications.
86. Deuxièmement, la formation restreinte observe que, pour vérifier que la société était bien en mesure de fournir la preuve du consentement donné par les personnes dont les données lui ont été transmises par la société [X3], la délégation a, au regard du nombre de personnes concernées (plus de 1,2 million), demandé que lui soient communiqués des éléments attestant des mécanismes de recueil du consentement mis en œuvre (nombre de formulaires ayant permis de collecter les données, nombre de personnes uniques dont les données ont été collectées par le biais de chacun des formulaires et qui ont été destinataires de prospection commerciale par voie électronique, scripts ou modèles permettant de générer l’ensemble des formulaires ou, à défaut, captures d’écran de chacun de ces formulaires). La société a indiqué ne pas être en capacité de fournir de tels éléments, précisant que malgré les demandes adressées à la société [X3], celle-ci avait refusé de lui communiquer les informations demandées. La formation restreinte observe ainsi que la société n’a pas été en mesure de présenter ces éléments de preuve pourtant prévus dans ses clauses contractuelles : elle n’a même pas pu fournir le descriptif précis, avec les copies de formulaires vierges, des mécanismes mis en œuvre pour recueillir le consentement. Ces faits suffisent à établir qu’elle n’est pas en mesure de démontrer que les personnes dont les données lui sont transmises par la société [X3], et qui sont utilisées à des fins de
prospection commerciale par voie électronique, ont consenti à cette prospection.
87. Troisièmement, la formation restreinte relève que la société est libre d’adopter la méthode qu’elle juge adaptée pour se conformer aux dispositions de l’article 7, paragraphe 1 du RGPD. Cependant, indépendamment des moyens choisis, il appartient bien à la société, en sa qualité de responsable de traitement, d’être en capacité d’apporter la preuve de la licéité des opérations de prospection réalisées. Dès lors, celle-ci ne saurait se retrancher derrière l’absence de coopération de son partenaire pour s’exonérer de sa propre responsabilité, le fait d’être dépendante d’autres organismes relevant d’un choix de sa part.
88. La formation restreinte relève à cet égard qu’après avoir constaté que son partenaire n’était pas en capacité de lui transmettre les éléments de preuve demandés – et qu’elle-même n’était donc pas en mesure de respecter les dispositions de l’article 7, paragraphe 1 du RGPD –, il appartenait à la société, soit de ne plus utiliser les données transmises, soit de recueillir elle-même le consentement des personnes concernées. Or, il ressort des éléments de l’instruction que, dès le 30 mai 2023, la société SOMS a sollicité la société [X3] afin que celle-ci lui fournisse les éléments de preuve demandés par la délégation et que, malgré l’absence de réponse de la part de son partenaire, elle a continué à utiliser les données transmises pour réaliser ses opérations de prospection commerciale par voie électronique jusqu’au 18 octobre 2024, laissant s’écouler un délai de près de 17 mois avant de suspendre leur exploitation.
89. Compte tenu de l’ensemble de ces éléments, la formation restreinte considère que, faute pour la société d’avoir mis en place un dispositif lui permettant d’être effectivement en mesure de démontrer que les personnes dont les données ont été collectées par la société [X3] ont donné leur consentement à la réception de messages de prospection par voie électronique de la part de la société SOMS, un manquement à l’article 7, paragraphe 1 du RGPD est constitué.
D. Sur le manquement relatif à la transmission de données de prospects à des partenaires afin qu’ils réalisent eux-mêmes de la prospection par voie postale ou par téléphone : manquement à l’obligation de disposer d’une base légale 
90. En droit, s’agissant de l’exigence de disposer d’une base légale, l’article 6, paragraphe 1 du RGPD dispose que "le traitement n'est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie :
a) la personne concernée a consenti au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques ;
[…]
f) le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent une protection des données à caractère personnel, notamment lorsque la personne concernée est un enfant […] .
91. La Cour de justice de l’Union européenne a rappelé à plusieurs reprises que, pour qu’un organisme puisse fonder son traitement sur la base légale de l’intérêt légitime, prévue au f) de l’article susvisé, trois conditions cumulatives devaient être réunies, à savoir la poursuite d’un intérêt légitime par le responsable du traitement ou par un tiers, la nécessité du traitement des données à caractère personnel pour la réalisation de l’intérêt légitime poursuivi et la condition que les intérêts ou les libertés et les droits fondamentaux de la personne concernée par la protection des données ne prévalent pas sur l’intérêt légitime du responsable du traitement ou d’un tiers (notamment CJUE, 4 juillet 2023, Meta, C-252/21).
92. S’agissant de cette dernière condition, la Cour a précisé qu’elle impliquait "une pondération des droits et des intérêts opposés en cause qui dépend, en principe, des circonstances concrètes du cas particulier "(CJUE, 17 juin 2021, M.I.C.M., C 597/19, point 111 ; CJUE, 4 juillet 2023, Meta, C-252/21).
93. Elle a également souligné (ibid) que les intérêts et les droits fondamentaux de la personne concernée pouvaient, en particulier, prévaloir sur l’intérêt du responsable du traitement lorsque des données à caractère personnel sont traitées dans des circonstances où ces personnes ne s’attendent raisonnablement pas à un tel traitement. A cet égard, il ressort du considérant 47 du RGPD que "les intérêts légitimes d'un responsable du traitement, y compris ceux d'un responsable du traitement à qui les données à caractère personnel peuvent être communiquées, ou d'un tiers peuvent constituer une base juridique pour le traitement, à moins que les intérêts ou les libertés et droits fondamentaux de la personne concernée ne prévalent, compte tenu des attentes raisonnables des personnes concernées fondées sur leur relation avec le responsable du traitement. Un tel intérêt légitime pourrait, par exemple, exister lorsqu'il existe une relation pertinente et appropriée entre la personne concernée et le responsable du traitement dans des situations telles que celles où la personne concernée est un client du responsable du traitement ou est à son service. En tout état de cause, l'existence d'un intérêt légitime devrait faire l'objet d'une évaluation attentive, notamment afin de déterminer si une personne concernée peut raisonnablement s'attendre, au moment et dans le cadre de la collecte des données à caractère personnel, à ce que celles-ci fassent l'objet d'un traitement à une fin donnée.
Les intérêts et droits fondamentaux de la personne concernée pourraient, en particulier, prévaloir sur l'intérêt du responsable du traitement lorsque des données à caractère personnel sont traitées dans des circonstances où les personnes concernées ne s'attendent raisonnablement pas à un traitement ultérieur .
94. En outre, le groupe de travail "article 29 "(devenu le Comité européen de la protection des données) a souligné, dans son avis 06/2014 sur la notion d’intérêt légitime (adopté le 9 avril 2014, sous l’empire de la directive 95/46/CE) qu’il convenait de donner une interprétation large aux notions d’"intérêts "et de "droits , en ce sens que "tous les intérêts pertinents de la personne concernée devraient être pris en compte . Il a également précisé que lors de l’évaluation de l’incidence du traitement, "en plus des conséquences négatives qui peuvent être spécifiquement prévues, il faut aussi tenir compte des répercussions morales, comme l’irritation, la crainte et le désarroi qui peuvent résulter de la perte du contrôle exercé par la personne concernée sur ses informations à caractère personnel, ou de la découverte d’une utilisation abusive […] de ces informations […]. […] Le terme "incidence , tel qu’il est employé dans le présent avis, couvre toutes les conséquences possibles (potentielles ou effectives) du traitement de données .
95. Enfin, à titre d’illustration, la CNIL rappelle, au sein de son référentiel relatif aux traitements de données à caractère personnel mis en œuvre aux fins de gestion des activités commerciales adopté le 23 septembre 2021, que la transmission de données à des partenaires (à titre onéreux ou dans le cadre d’accords commerciaux entre deux sociétés), afin que ceux-ci réalisent des opérations de prospection non électronique, peut être réalisée sur le fondement de l’intérêt légitime de l’organisme qui transmet les données. Celui-ci doit alors informer les personnes concernées, sur le support de collecte des données, de la finalité de cette transmission et des catégories de partenaires rendus destinataires des données. Il doit également offrir aux personnes concernées, de manière expresse et dénuée d’ambiguïté, la possibilité de s’opposer, sans frais et de manière simple, à la transmission de leurs données à caractère personnel au moment où celles-ci sont recueillies et à tout moment.
96. En droit, s’agissant des données personnelles contenues dans les annuaires publics à partir des données des opérateurs de téléphonie et de leur utilisation à des fins de prospection, l’article L. 34 du code des postes et des communications électroniques dispose que "la publication des listes d'abonnés ou d'utilisateurs des réseaux ou services de communications électroniques est libre, sous réserve de la protection des droits des personnes.
97. Parmi les droits garantis figurent ceux pour toute personne d'être mentionnée sur les listes d'abonnés ou d'utilisateurs publiées dans les annuaires ou consultables par l'intermédiaire d'un service de renseignements ou de ne pas l'être, de s'opposer à l'inscription de certaines données la concernant dans la mesure compatible avec les nécessités de la constitution des annuaires et des services de renseignements auxquels ces listes sont destinées, d'être informée préalablement des fins auxquelles sont établis, à partir de ces listes, des annuaires et services de renseignements et des possibilités d'utilisation reposant sur des fonctions de recherche intégrées à leur version élec-tronique, d'interdire que les informations nominatives la concernant soient utilisées dans des opé-rations commerciales, ainsi que de pouvoir obtenir communication desdites informations nomina-tives et exiger qu'elles soient rectifiées, complétées, clarifiées, mises à jour ou effacées, dans les conditions prévues aux articles 49 et 50 de la loi n° 78-17 du 6 janvier 1978 relative à l'informa-tique, aux fichiers et aux libertés.
98. Le consentement préalable des abonnés à un opérateur de téléphonie mobile est requis pour toute inscription dans les listes d'abonnés ou d'utilisateurs établies par leur opérateur mobile, destinées à être publiées dans les annuaires ou consultables par l'intermédiaire d'un service de renseigne-ments, de données à caractère personnel les concernant.
99. Sur toute demande présentée en vue d'éditer un annuaire universel ou de fournir un service universel de renseignements, même limitée à une zone géographique déterminée, les opérateurs sont tenus de communiquer, dans des conditions non discriminatoires et à un tarif reflétant les coûts du service rendu, la liste de tous les abonnés ou utilisateurs auxquels ils ont affecté, directe-ment ou par l'intermédiaire d'un distributeur, un ou plusieurs numéros du plan national de numé-rotation téléphonique prévu à l'article L. 44. (…) "
100. L’article R. 10 du même code dispose que "toute personne ayant souscrit un abonnement au service téléphonique au public a le droit de figurer gratuitement sur une liste d'abonnés ou d'utili-sateurs destinée à être publiée. Elle peut obtenir gratuitement de l'opérateur auprès duquel elle est abonnée ou du distributeur de son service :
1. De ne pas être mentionnée sur les listes d'abonnés ou d'utilisateurs publiées ou susceptibles d'être consultées par les services de renseignements ;
2. Que ces listes ne comportent pas l'adresse complète de son domicile sauf lorsque l'activité pro-fessionnelle mentionnée consiste à fournir des biens ou des services aux consommateurs ;
(…)
4. Que les données à caractère personnel la concernant issues des listes d'abonnés ou d'utilisa-teurs ne soient pas utilisées dans des opérations de prospection directe soit par voie postale, soit par voie de communications électroniques, sans préjudice des dispositions de l'article L. 34-5, à l'exception des opérations concernant la fourniture du service téléphonique au public et relevant de la relation contractuelle entre l'opérateur et l'abonné.
(…) Le consentement préalable des abonnés à un opérateur de téléphonie mobile est requis pour toute inscription de données à caractère personnel les concernant dans les listes d'abonnés ou d'utilisateurs mentionnées au premier alinéa. A défaut, ils bénéficient de plein droit des disposi-tions du 1 ci-dessus. (…) "
101. Il résulte des dispositions du I de l’article R. 10-3 du même code que les listes fournies aux éditeurs d’annuaire comportent "les noms, prénoms et, le cas échéant, les raisons sociales ou dénominations sociales, adresses et numéros de téléphone des abonnés au service téléphonique au public et de ses utilisateurs "et que ces listes "font apparaître les oppositions que les abonnés ou utilisateurs ont formulées en application de l'article R. 10.