AgentPublic/cnil huggingface dataset:
La rapporteure a relevé que l’écoute d’un échantillon des cinquante derniers appels téléphoniques passés par ces deux sous-traitants a permis de constater l’absence d’information des personnes contactées, soit du principe même de l’enregistrement de l’appel, soit de leur droit à s’y opposer. En outre, la rapporteure a également souligné que, dans le cadre de ces enregistrements, les personnes n’étaient rendues destinataires d’aucune information, même sommaire, relative au traitement de leurs données à caractère personnel ou aux autres droits dont elles disposent à l’égard de leurs données. Enfin, ces personnes ne se voyaient pas offrir la possibilité d’obtenir une information plus complète relative à la protection de leurs données à caractère personnel, par exemple via l’envoi d’un courriel ou l’activation d’une touche sur leur clavier téléphonique.
En défense, la société a indiqué avoir procédé à des rectifications immédiates, dès l’issue du contrôle sur place, afin de délivrer aux personnes concernées une information conforme aux exigences du RGPD. Elle a ainsi déclaré que, depuis la fin de l’année 2019, des instructions écrites relatives à l’information des personnes concernées étaient remises aux sous-traitants […] et […], tout comme des scripts d’appels téléphoniques actualisés contenant la plupart des mentions exigées par les articles 13 et 14 du RGPD. La société a précisé que lesdits scripts avaient été complétés avec d’ultimes mentions manquantes en 2021. Enfin, la société a indiqué qu’une notice d’information dédiée aux traitements mis en œuvre dans le cadre de l’enregistrement des appels téléphoniques sortants était désormais fournie au sein de la rubrique protection des données du site internet d’Y, indiquant la base légale du traitement et précisant les destinataires des enregistrements ainsi que les modalités d’exercice des droits. La société a précisé que les personnes démarchées téléphoniquement étaient désormais informées, par le téléopérateur, du fait qu’elles pouvaient consulter cette notice d’information en se rendant sur le site internet d’Y.
La formation restreinte relève qu’à la date du contrôle, les personnes démarchées téléphoniquement par les sociétés […] et […] pour le compte de la société X n’étaient pas correctement informées des traitements de données à caractère personnel mis en œuvre, en méconnaissance des dispositions applicables du RGPD. En effet, d’une part, les informations essentielles relatives en particulier au principe même de l’enregistrement de l’appel ou, selon les cas, au droit de s’y opposer, aux finalités de l’enregistrement et à sa durée de conservation, n’étaient pas communiquées aux personnes concernées par les sous-traitants de la société X. D’autre part, la formation restreinte souligne l’absence d’instructions données par la société X à ses sous-traitants afin de porter à la connaissance des personnes concernées les mentions d’information obligatoires prévues par le RGPD. En outre, elle relève que les scripts d’appels téléphoniques destinés au sous-traitant […] ne contenaient aucune mention relative à la fourniture d’une quelconque information relative à la protection de leurs données à caractère personnel aux personnes concernées.
Au vu de ce qui précède, la formation restreinte considère qu’au jour du contrôle, la société ne respectait pas les dispositions des articles 13 et 14 du RGPD.
La formation restreinte relève néanmoins que, depuis le contrôle, la société s’est mise en conformité avec les exigences découlant des articles 13 et 14 du RGPD. A cet égard, la formation restreinte constate que les téléconseillers des prestataires […] et […] délivrent de manière effective une information aux personnes démarchées téléphoniquement concernant l’identité du responsable de traitement, le principe et la finalité de l’enregistrement de la conversation, les destinataires des enregistrements, leur durée de conservation, l’existence des droits dont disposent les personnes concernées, ainsi que la possibilité d’obtenir des informations complémentaires relatives aux traitements de données à caractère personnel mis en œuvre par la société en consultant la rubrique protection des données du site internet d’Y (au sein de laquelle est disponible la notice d’information dédiée aux traitements mis en œuvre dans le cadre de l’enregistrement des appels téléphoniques sortants).
Dès lors, la formation restreinte considère que les faits précités constituent un manquement aux articles 13 et 14 du RGPD, mais que la société a justifié s’être mise en conformité en fournissant, à la date de clôture de l’instruction, une information complète aux personnes démarchées téléphoniquement au sens des dispositions précitées.
III. Sur les mesures correctrices et leur publicité
Aux termes du III de l’article 20 de la loi du 6 janvier 1978 modifiée :
7° À l'exception des cas où le traitement est mis en œuvre par l'État, une amende administrative ne pouvant excéder 10 millions d'euros ou, s'agissant d'une entreprise, 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l'article 83 du règlement (UE) 2016/679 du 27 avril 2016, ces plafonds sont portés, respectivement, à 20 millions d'euros et 4 % dudit chiffre d'affaires. La formation restreinte prend en compte, dans la détermination du montant de l'amende, les critères précisés au même article 83. 
L’article 83 du RGPD prévoit que Chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour des violations du présent règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives , avant de préciser les éléments devant être pris en compte pour décider s’il y a lieu d’imposer une amende administrative et pour décider du montant de cette amende.
En premier lieu, la société fait valoir que si une amende devait être prononcée, la formation restreinte devrait tenir compte des mesures adoptées dans le sens d’une mise en conformité. S’agissant des durées de conservation des données des prospects, la société souligne que des actions correctrices ont été rapidement déployées afin de supprimer les données des prospects dont la durée maximale de conservation est atteinte et que des purges régulières sont désormais effectuées. S’agissant des durées de conservation des données des clients, elle rappelle que la complexité des systèmes d’information du groupe Y a retardé la mise en œuvre pleine et entière des durées légales de conservation, celle-ci étant toutefois en cours et déjà partiellement réalisée. Lors de la séance de la formation restreinte, la société a indiqué avoir investi au total […] depuis plusieurs années. Par ailleurs, la société souligne que l’information délivrée aux personnes démarchées téléphoniquement respecte désormais les exigences des articles 13 et 14 du RGPD. La société invite enfin la formation restreinte à tenir compte de sa pleine coopération lors de la procédure et souligne une diminution de son chiffre d’affaires et de son résultat net.
La formation restreinte rappelle qu’elle doit tenir compte, pour le prononcé d’une amende administrative et pour la détermination de son montant, des critères précisés à l’article 83 du RGPD, tels que la nature, la gravité et la durée de la violation, les mesures prises par le responsable du traitement pour atténuer le dommage subi par les personnes concernées, le degré de coopération avec l’autorité de contrôle et les catégories de données à caractère personnel concernées par la violation.
En outre, la formation restreinte rappelle que dans la mesure où sont en l’espèce reprochés à la société des manquements aux articles 5-1-e), 13 et 14 du Règlement, le montant maximum de l’amende pouvant être retenu s’élève à 20 millions d’euros ou 4% du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu.
La formation restreinte considère tout d’abord que la société a fait preuve d’une négligence grave au regard de l’atteinte portée à des principes fondamentaux prévus par le RGPD, à savoir le principe de limitation de la durée de conservation des données et l’obligation d’informer les personnes concernées des traitements de leurs données à caractère personnel.
La formation restreinte relève ensuite que le manquement relatif aux durées de conservation a concerné un nombre très important de personnes, en particulier des clients de la société. En effet, la conservation en base active pour des durées supérieures aux durées légales autorisées, pouvant excéder trente ans, a concerné les données à caractère personnel de plus de deux millions de clients collectées lors de la conclusion de contrats d’assurance. 
La formation restreinte souligne par ailleurs que, parmi les données des clients conservées pour des durées excessives, figurent des données de nature sensible, des coordonnées bancaires et des informations relatives à la vie personnelle des clients. 
La formation restreinte relève également que les mesures de mise en conformité mises en place à la suite du contrôle n’ont pas permis de remédier entièrement au manquement relatif aux durées de conservation des données en tant qu’il concerne les clients, lequel persiste encore partiellement à ce jour. En tout état de cause, les mesures de mise en conformité adoptées n’exonèrent pas la société de sa responsabilité pour le passé.
De plus, la formation restreinte considère que les investissements réalisés par la société pour parvenir à la mise en œuvre des durées de conservation définies dans ses systèmes d’information ne sont pas disproportionnés au regard de son chiffre d’affaires, de la taille du groupe et de l’ampleur des travaux à réaliser compte tenu de la complexité desdits systèmes d’information soulignée par la société elle-même, qui préexistait à l’entrée en application du RGPD. La formation restreinte considère que c’est précisément le manque d’anticipation qui a contribué à des échecs dans la mise en œuvre des durées de conservation des données des clients de la société au sein de ses systèmes et, partant, à l’absence de mise en conformité avec le RGPD plus de trois ans après son entrée en application.
Enfin, la formation restreinte rappelle que les amendes administratives doivent être dissuasives mais proportionnées. Elle considère en particulier que l’activité de la société et sa situation financière doivent être prises en compte pour la détermination de la sanction et notamment, en cas d’amende administrative, de son montant. Elle relève à ce titre que la société fait état d’une diminution de son chiffre d’affaires, passé de […] en 2019 à […] en 2020, comme de son résultat net, passé de […] en 2019 à […] en 2020. Si la formation restreinte constate le résultat net a diminué de manière assez significative, elle souligne que celui-ci reste largement positif. Au vu de ces éléments, la formation restreinte considère que le prononcé d’une amende de 1 750 000 euros apparaît justifié, compte tenu notamment de la nécessité de sanctionner des manquements à des principes élémentaires du RGPD, commis par […], concernant plusieurs millions de personnes et portant sur des données de nature sensible ou particulière, comme les coordonnées bancaires.
En conséquence, la formation restreinte considère qu’il y a lieu de prononcer une amende administrative de 1 750 000 euros au regard des manquements aux articles 5-1-e), 13 et 14 du RGPD.
En deuxième lieu, une injonction de mettre en conformité le traitement avec les dispositions des articles 5-1-e), 13 et 14 du RGPD a été proposée par la rapporteure dans son rapport de sanction.
En défense, la société soutient que les actions qu’elle a mises en œuvre s’agissant de l’ensemble des manquements relevés doivent conduire à ne pas donner suite à la proposition d’injonctions de la rapporteure.
S’agissant du manquement à l’obligation de définir et de respecter une durée de conservation des données à caractère personnel proportionnée à la finalité du traitement en application de l’article 5-1-e) du RGPD, la société indique avoir entrepris de nombreuses actions et avoir réalisé les investissements conséquents susmentionnés pour atteindre la mise en conformité sur ce point.
La formation restreinte relève, s’agissant des données des prospects, que la société met désormais en œuvre les durées de conservation définies par la société dans son référentiel, qui sont proportionnées aux finalités poursuivies et au demeurant conformes aux recommandations faites par la CNIL en la matière. S’agissant des données des clients, la société témoigne s’être engagée dans une démarche sérieuse de mise en conformité. A cet égard, la formation restreinte note d’ailleurs que la société documente avoir mené à bien une partie importante de la mise en oeuvre de ces durées de conservation dans ces systèmes, seuls restant à couvrir une partie résiduelle du périmètre Santé Prévoyance ainsi que le périmètre Epargne et retraite supplémentaire , et que la société s’est engagée à achever sa mise en conformité au 31 décembre 2022.
S’agissant du manquement à l’obligation d’information des personnes en application des articles 13 et 14 du RGPD, la formation restreinte prend acte de la mise en conformité de la société sur ce point. En effet, la société démontre avoir envoyé des instructions écrites à ses prestataires afin que soit délivrée une information complète aux personnes démarchées téléphoniquement pour son compte, et y avoir joint des scripts d’appels complétés des mentions d’information obligatoires. Par ailleurs, l’écoute des échantillons d’appels téléphoniques communiqués par la société atteste de la délivrance effective de ces informations aux personnes concernées. En outre, une notice d’information dédiée à ces traitements et contenant des informations complémentaires a été insérée au sein de la politique de confidentialité. La personne est désormais systématiquement informée par le téléopérateur, au début de l’appel téléphonique, du fait qu’elle peut prendre connaissance de cette notice en se rendant sur le site internet d’Y.
Au vu de ce qui précède, la formation restreinte considère qu’il n’y a plus lieu de maintenir les injonctions proposées.
En troisième lieu, la formation restreinte considère que la publicité de la sanction se justifie au regard du fait que les manquements aux principes élémentaires du RGPD relevés en l’espèce concernent un acteur […] qui gère les données à caractère personnel de millions de personnes. La formation restreinte relève que dans ce contexte, la publicité de la sanction permet d’informer les personnes concernées de la nature et de l’étendue de ces manquements.
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide de :
prononcer à l’encontre de la société X une amende administrative d’un montant de 1 750 000 (un million sept-cent-cinquante-mille) euros ;
rendre publique, sur le site de la CNIL et sur le site de Légifrance, sa délibération, qui n’identifiera plus nommément la société à l’expiration d’un délai d’un an à compter de sa publication.
 Le président
Alexandre LINDEN
Cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’État dans un délai de deux mois à compter de sa notification.
Délibération de la formation restreinte no SAN-2021-012 du 26 juillet 2021 concernant la société X
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de Monsieur Alexandre LINDEN, président, Monsieur Philippe-Pierre CABOURDIN, vice-président, Madame Anne DEBET, Monsieur Bertrand du MARAIS et Madame Christine MAUGÜE, membres ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée, notamment ses articles 20 et suivants ;
Vu le décret no 2019-536 du 29 mai 2019 pris pour l'application de la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu les saisines n°19009370, 19009429, 19009432, 19009439, 19009604, 19009666, 19017095 ;
Vu la décision n° 2019-098C du 13 mai 2019 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements mis en œuvre par la société Y, devenue, à partir du 1er janvier 2017, la société XY ;
Vu la décision n° 2019-099C du 13 mai 2019 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements mis en œuvre par la société XX ;
Vu la décision n° 2019-111C du 26 juin 2019 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements mis en œuvre par la société X ;
Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte, en date du 5 novembre 2020 ;
Vu le rapport de Madame Valérie PEUGEOT, commissaire rapporteure, notifié, à la demande des sociétés, à la société ZZ, venant aux droits de la société X le 15 février 2021 ;
Vu les observations écrites versées par le conseil de la société X le 15 mars 2021 ;
Vu la réponse du rapporteur à ces observations notifiée au conseil de la société X le 9 avril 2021 ;
Vu les nouvelles observations écrites versées par le conseil de la société X, reçues le 5 mai 2021 ;
Vu les observations orales formulées lors de la séance de la formation restreinte ;
Vu les autres pièces du dossier ;
Étaient présents, lors de la séance de la formation restreinte du 20 mai 2021 :
- Madame Valérie PEUGEOT, commissaire, entendue en son rapport ;
En qualité de représentants de la société X :
[ …]
En qualité d’interprète :
[…]
La société X ayant eu la parole en dernier ;
La formation restreinte a adopté la décision suivante :
I. Faits et procédure
1. La société X (ci-après " la société X ") est une société américaine spécialisée dans les [...], dont le siège est situé au […] aux ETATS-UNIS. Le groupe X a fait l’objet au mois de juin 2018 d’une acquisition par le groupe [...] allemand ZZ.
2. La société X demeure cependant une entité distincte, détenue à 100% par la société Z, et qui conserve la personnalité morale et la même dénomination sociale.
3. Au cours du mois de mai 2019, un article paru dans le journal " [...]" ainsi que deux documentaires diffusés sur la chaîne " [...]" ont révélé qu’entre 2016 et 2017, les sociétés Y (devenue la société XY) et la société XX avaient constitué, pour le compte de la société X, des fichiers contenant les données à caractère personnel de plus de 200 personnalités politiques françaises et européennes ou appartenant à la société civile dont des journalistes, des militants de la cause écologiste, des scientifiques et des agriculteurs, dans le cadre de la campagne pour le renouvellement de l’autorisation d’utilisation du [...] par la Commission européenne.
4. Entre les mois de mai et septembre 2019, la Commission nationale de l’informatique et des libertés (ci-après " la CNIL " ou " la Commission ") a été saisie de sept plaintes (saisines n° 19009370, 19009429, 19009432, 19009439, 19009604, 19009666, 19017095) à l’encontre de la société dans lesquelles les plaignants indiquaient notamment qu’ils n’avaient pas été informés de l’existence de ce traitement de leurs données à caractère personnel.
5. En application des décisions n° 2019-098C et n° 2019-099C du 13 mai 2019 et n° 2019-111C du 26 juin 2019 de la présidente de la Commission, une délégation de la CNIL a mené les opérations de contrôle suivantes :
- un contrôle sur pièces, par l’envoi d’un courrier de demande de pièces le 15 mai 2019 à la société Y (devenue la société XY le 1er janvier 2017) ;
- une audition de la société Y le 21 janvier 2020 ;
- un contrôle sur pièces, par l’envoi d’un courrier de demande de pièces le 14 mai 2019, à la société XX ;
- un contrôle sur pièces, par l’envoi d’un questionnaire le 6 août 2019, à la société X.
6. Ces missions avaient pour objet de vérifier le respect par ces sociétés de l’ensemble des dispositions de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après " la loi Informatique et Libertés " ou " la loi du 6 janvier 1978 ") et du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (ci-après " le RGPD " ou " le Règlement "). En particulier, il s’est agi de procéder à des investigations en lien avec le traitement effectué à la demande de la société X et dans le cadre d’une mission globale de représentation d’intérêts, par la société Y, consistant à collecter et organiser des données à caractère personnel en vue d’accomplir une mission de représentation d’intérêts concernant l’utilisation du [...] en Europe et dans le monde.
7. Il ressort des investigations menées par la délégation de contrôle de la CNIL que, par un contrat cadre de prestation de services en date du 18 juillet 2013, complété par trois avenants et quatre cahiers des charges, la société X a confié à la société Y - devenue le 1er janvier 2017 la société XY - une mission de représentation d’intérêts concernant l’utilisation du [...] en Europe et dans le monde, à compter de 2016 et jusqu’au 31 mai 2019.
8. En effet, parmi ses activités, la société développe et commercialise des produits phytosanitaires. Le plus connu d’entre eux est […] dont l’une des substances actives est le [...]. En vue du renouvellement de l’autorisation du [...] par la Commission européenne, intervenu finalement le 27 novembre 2017, la société X a mené une importante campagne de représentation d’intérêts, notamment à l’aide des sociétés Y et XX.
9. Dans le cadre de cette prestation, la société Y a procédé à l’identification et au recensement d’informations relatives à des personnalités impliquées dans le débat sur le renouvellement de l’autorisation d’utilisation du [...] en Europe, qui s’est notamment concrétisé par l’élaboration et la tenue d’une liste des " parties prenantes " intervenant dans le cadre de cette campagne. Ce fichier, intitulé " [...] ", comportait une liste de 201 personnes résidant en France, dont des membres d’associations de protection de l’environnement, d’associations d’agriculteurs, d’associations dans le domaine de la santé, d’organisations professionnelles, des personnalités politiques, des membres d’administrations, des journalistes, des universitaires et des agriculteurs. Pour chacune de ces personnes, les informations suivantes étaient renseignées : organisme de rattachement et site web, poste occupé, adresse professionnelle, numéro de téléphone fixe professionnel, numéro de téléphone portable, adresse de messagerie électronique professionnelle et, le cas échéant, compte " Twitter ".
10. En outre, une note allant de 1 à 5 était attribuée à chaque personne, afin d’évaluer son influence, sa crédibilité et son soutien à la société X sur six sujets, en l’occurrence l’agriculture, les pesticides, les organismes génétiquement modifiés, l’environnement, l’alimentation et la santé.