AgentPublic/cnil huggingface dataset:
50. La rapporteure considère que l’enregistrement intégral et systématique des conversations téléphoniques entre les voyants et les clients, entre les standardistes et les voyants ainsi qu’entre les standardistes et les clients ou prospects est excessif au regard des finalités de formation et d’évaluation et de contrôle qualité, et qu’il devrait être limité à un échantillon de conversations entre les personnes précitées, exception faite des conversations entre les standardistes et les clients ou prospects pour lesquelles l’enregistrement devrait porter sur la seule partie portant clairement sur la conclusion d’un contrat. 
51. En défense, la société considère, en premier lieu, que si les enregistrements visés contiennent bien des données à caractère personnel, ils ne font pour autant l’objet d’aucun traitement par la suite.
52. En deuxième lieu, la société estime qu’elle procède déjà à des opérations de minimisation, d’une part en supprimant chaque soir, à l’issue du service, 50% des enregistrements des conversations entre les voyants et les clients et entre les voyants et les standardistes et, d’autre part, en ne réalisant aucun enregistrement d’informations relatives aux données bancaires de ses clients.
53. En troisième lieu, elle revient sur chacune des finalités qui, selon elle, préside à l’enregistrement des conversations téléphoniques. Elle considère tout d’abord que l’enregistrement intégral et systématique des conversations est nécessaire à des fins de contrôle de la qualité du service et de formation, compte tenu de la nature de son activité et de la diversité des consultations délivrées. Ensuite, elle estime qu’en cas de contestation en justice de ses prestations, elle ne dispose d’aucun autre moyen pour démontrer la souscription et la bonne exécution du contrat. La société fait en outre valoir qu’elle reçoit régulièrement des réquisitions judiciaires lui demandant communication des enregistrements réalisés et qu’elle se trouve dès lors dans l’obligation d’y répondre, sous peine de sanction pénale. Enfin, elle considère que ces enregistrements sont nécessaires à des fins de sauvegarde de la vie humaine, soutenant qu’ils lui permettraient d’apprécier les situations dans lesquelles il convient de contacter les services de secours.
54. La formation restreinte relève qu’il ressort des éléments du dossier que la société COSMOSPACE enregistre de façon intégrale et systématique, d’une part, les conversations entre les voyants délivrant la consultation et les clients, ainsi que des conversations entre les standardistes et les voyants (dans le cadre des transferts d’appels d’un client à un voyant, ou lorsque le voyant renvoie le client vers le standard à l’issue de la consultation). Chaque soir, à l’issue du service, 50% de ces enregistrements font l’objet d’une suppression automatique. Les autres sont conservés pendant une durée de six mois (sauf contentieux). 
55. Et d’autre part, la société enregistre l’intégralité des conversations entre les standardistes et les clients ou prospects (à l’exception de la partie relative à la collecte des coordonnées bancaires du client), qu’elle conserve pendant une durée de treize mois.
56. En premier lieu, aux termes de l’article 4, paragraphe 2 du RGPD, constitue un traitement “ toute opération ou tout ensemble d'opérations effectuées ou non à l'aide de procédés automatisés et appliquées à des données ou des ensembles de données à caractère personnel, telles que la collecte, l'enregistrement, l'organisation, la structuration, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, la limitation, l'effacement ou la destruction “.
57. En application de ces dispositions, l’enregistrement de conversations téléphoniques constitue, en soi, un traitement de données à caractère personnel. La formation restreinte a d’ailleurs sanctionné, à plusieurs reprises et depuis plusieurs années des organismes se livrant à de tels enregistrements dans des conditions non conformes au RGPD (CNIL, FR, Sanction, 21 novembre 2019, SAN-019-010, publié ; CNIL, FR, Sanction, 28 juillet 2020, SAN-2020-003, publié ; CNIL, FR, Sanction, 8 juin 2023, SAN-2023-008, publié). En outre, la CNIL met à disposition du public de nombreux contenus relatifs à cette question sur son site web. La formation restreinte relève qu’il en était déjà ainsi avant l’entrée en application du RGPD, avec l’adoption en 2014 de la norme simplifiée n° 57 relative à l’écoute et l’enregistrement des conversations téléphoniques sur le lieu de travail.
58. La formation restreinte relève qu’en l’espèce, en procédant à l’enregistrement des conversations susvisées, la société collecte les données des personnes concernées – tant celles de ses prospects ou clients que de ses salariés –, les conserve (pour une durée plus ou moins longue, allant de quelques heures à plusieurs mois) et, pour certaines, les consultent et les utilisent dans le cadre de diverses finalités qu’elle détaille (formation et contrôle de la qualité du service, réquisitions judiciaires, contestation, etc.). Ainsi, la société réalise bien différentes opérations de traitement telles que détaillées à l’article 4, paragraphe 2 du RGPD. 
59. S’il apparait établi que la société procède, chaque soir, à la suppression aléatoire et automatique de 50% de certains des enregistrements réalisés, la formation restreinte souligne que cette circonstance est sans incidence sur la qualification de ces opérations de traitement, cette suppression ayant lieu, par définition, postérieurement à la collecte et au traitement des données. 
60. En deuxième lieu, la formation restreinte considère qu’il convient d’analyser chacune des finalités invoquées par la société pour procéder à l’enregistrement intégral et systématique des conversations visées au paragraphe 50 de la présente délibération, afin de déterminer si les données collectées apparaissent bien adéquates, pertinentes et limitées à ce qui est nécessaire au regard de ces finalités.
61. S’agissant de l’enregistrement intégral et systématique des appels téléphoniques à des fins de contrôle de la qualité du service et de formation, la formation restreinte relève tout d’abord que la société n’apporte aucun élément permettant de justifier de la nécessité d’enregistrer l’intégralité des conversations susvisées à cette fin. La formation restreinte considère ensuite que la finalité visant à contrôler la qualité du service fourni par les standardistes et les voyants peut être atteinte par un moyen moins intrusif tel un enregistrement ponctuel et aléatoire. 
62. Dès lors, la formation restreinte considère que l’instauration d’un dispositif d’enregistrement systématique des appels téléphoniques passés, d’une part, entre les voyants et les clients et, d’autre part, entre les standardistes et les clients est excessif au regard de la finalité poursuivie.
63. La formation restreinte rappelle qu’elle a déjà considéré, s’agissant d’une société procédant à l’enregistrement des appels téléphoniques passés ou reçus par les salariés du service clients à des fins de formation, que “ la société ne justifie pas de la nécessité d’enregistrer l’intégralité des conversations téléphoniques passées par le service client, au regard de la finalité du traitement, à savoir la formation des salariés. (…). La formation restreinte considère donc, au vu de ces éléments, qu’un manquement à l’article 5-1-c) du RGPD est constitué “ (CNIL, FR, 28 juillet 2020, Sanction, n° SAN-2020-003, publié). Cette position a récemment été rappelée à l’égard d’une société proposant, comme en l’espèce, des consultations de voyance par téléphone (CNIL, FR, 8 juin 2023, Sanction, SAN-2023-008, publié).
64. Dans ces conditions, l’enregistrement intégral et systématique des appels n’apparait pas plus nécessaire à des fins de contrôle de la qualité du service et de formation.
65. S’agissant de l’enregistrement intégral et systématique des appels téléphoniques à des fins de preuve de la souscription d’un contrat, la formation restreinte rappelle qu’un tel enregistrement est possible, sous réserve d’être nécessaire et en l’absence d’une autre modalité de preuve, telle qu’une confirmation écrite. Dans cette hypothèse, l’enregistrement ne doit cependant pas être intégral, le professionnel devant prévoir des mécanismes afin de n’enregistrer la conversation qu’à partir du moment où son objet porte clairement sur la conclusion d’un contrat. 
66. La formation restreinte relève qu’en l’espèce, la vente de forfaits ou prestations peut intervenir lors des appels passés entre les clients et les standardistes. Dans la mesure où ce sont les clients qui contactent la société et que, dès lors, cette vente ne fait pas suite à un démarchage téléphonique, le contrat est conclu à l’oral, sans qu’aucune confirmation écrite ne soit adressée au client. Dans ces conditions, et en l’absence d’une autre modalité de preuve de souscription du contrat, l’enregistrement de la partie de l’appel portant sur la conclusion du contrat apparait justifié. La formation restreinte relève toutefois que la société ne se limite pas à enregistrer uniquement cette phase de l’appel, mais procède à son enregistrement intégral, quelles que soient les différentes catégories d’appels précédemment citées.
67. Dans sa défense, la société soutient, premièrement, que l’enregistrement intégral et systématique des conversations entre les clients et les standardistes et entre les clients et les voyants est nécessaire à des fins de preuve de souscription du contrat, dans la mesure où c’est l’ensemble de ces échanges qui permettraient d’aboutir à un accord. 
68. La formation restreinte rappelle qu’en application de l’article 1121 du Code civil, le contrat est conclu dès que l’acceptation de l’offre parvient à l’offrant soit, en l’espèce, lorsque le client accepte, après avoir reçu les informations adéquates (prix de la prestation, durée, modalités, etc.), d’avoir recours aux services de la société. 
69. Dans ces conditions, pour les appels entre les standardistes et les clients, l’enregistrement intégral et systématique de l’appel n’apparait pas nécessaire à des fins de preuve de la souscription d’un contrat, un enregistrement limité à la phase de conclusion du contrat étant suffisant. Pour les enregistrements des appels passés entre les voyants et les clients, et entre les voyants et les standardistes, aucun contrat n’étant conclu lors de ces appels, ils ne sont pas nécessaires pour l’atteinte de cette finalité.
70. Deuxièmement, la société fait valoir que, dans la mesure où l’ensemble de la prestation se déroule de manière orale, l’enregistrement intégral et systématique des conversations susvisées est nécessaire à la défense de ses droits en justice afin de prouver la bonne exécution du contrat, notamment lorsqu’elle est confrontée à des actions en remboursement. 
71. La formation restreinte entend rappeler que, si la conservation de certaines données collectées dans le cadre de finalités déterminées et légitimes peut se justifier à des fins contentieuses ou précontentieuses, un tel objectif ne saurait justifier en tant que tel l’enregistrement de tous les appels téléphoniques, dans leur intégralité. 
72. La formation restreinte relève en outre qu’en l’espèce, la société est susceptible de disposer d’autres éléments lui permettant d’assurer sa défense (comme, par exemple, des SMS de confirmation de rendez-vous et de facturation). Elle relève en tout état de cause que la justification apportée par la société n’apparait pas cohérente puisque qu’en l’état, 50% des enregistrements étant supprimés chaque soir, elle n’apparait pas en mesure de fournir ces enregistrements de manière systématique dans le cadre des procédures judiciaires qui pourraient être initiées à son encontre.
73. S’agissant de l’enregistrement intégral et systématique des appels téléphoniques dans la perspective de réquisitions judiciaire, la formation restreinte rappelle que, s’il est nécessaire que les responsables du traitement fassent droit aux réquisitions judiciaires qu’ils reçoivent concernant les données qu’ils traitent pour leurs propres besoins, ils n’ont en revanche pas à organiser, à l’avance, la collecte de données à caractère personnel dans la perspective de répondre à une potentielle réquisition judiciaire (CNIL, FR, 8 juin 2023, Sanction, SAN-2023-008, publié). Ainsi, la société ne peut valablement soutenir qu’elle s’exposerait à une quelconque sanction pénale dans l’hypothèse où elle serait dans l’incapacité de répondre aux réquisitions reçues, en raison du fait qu’elle ne disposerait pas de ces données. 
74. S’agissant de l’enregistrement intégral et systématique des appels téléphoniques à des fins de sauvegarde de la vie humaine, la formation restreinte relève qu’en l’espèce, les voyants ou les standardistes peuvent être amenés à contacter les secours face à des discours violents ou suicidaires tenus par les clients.
75. La formation restreinte considère qu’il ne peut être valablement soutenu que de tels cas de figure justifieraient l’enregistrement intégral et systématique des conversations, notamment au regard de la faible proportion de ces appels par rapport au nombre de consultations réalisées (89 appels en 2021 pour environ 360 000 consultations), étant entendu que l’assistance aux personnes en danger n’entre pas dans le cadre des activités déclarées et quotidiennes de la société. Elle souligne en outre que, d’une part, c’est la réaction des intervenants (voyants ou standardistes) face aux discours de certains clients, et non l’existence des enregistrements en cause, qui permet aux secours d’intervenir et, d’autre part, qu’un mécanisme permettant aux salariés de la société de déclencher manuellement l’enregistrement lorsqu’ils sont confrontés à des discours inquiétants pourrait parfaitement être mis en place (un mécanisme d’interruption manuel existant d’ores et déjà s’agissant de l’enregistrement des données bancaires des clients). 
76. Dès lors, la société ne peut soutenir que l’enregistrement intégral et systématique des appels serait nécessaire à des fins de sauvegarde de la vie humaine. 
77. Compte tenu de l’ensemble de ces éléments, la formation restreinte considère qu’un manquement à l’article 5, paragraphe 1, c) du RGPD est constitué.
2) Sur le manquement à l’obligation de définir et de respecter une durée de conservation proportionnée à la finalité du traitement en application de l’article 5-1-e du RGPD 
78. Aux termes de l’article 5, paragraphe 1, e) du RGPD, les données à caractère personnel doivent être “ conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées (…) “.
79. En application de ces dispositions, il incombe au responsable de traitement de définir une durée de conservation conforme à la finalité du traitement. Lorsque cette finalité est atteinte, les données doivent être supprimées ou anonymisées, ou faire l’objet d’un archivage intermédiaire pour une durée déterminée lorsque leur conservation est nécessaire, par exemple pour le respect d’obligations légales ou à des fins précontentieuses ou contentieuses notamment.
80. A titre d’illustration, la délibération n° 2021-131 du 23 septembre 2021 portant adoption d’un référentiel relatif aux traitements mis en œuvre aux fins de gestion des activités commerciales prévoit que la conservation des données des clients à l’issue de la relation commerciale est possible sous certaines conditions, et rappelle que les durées de conservation doivent être fixées en fonction de chaque finalité. Si ledit référentiel propose des durées de conservation, il prévoit qu’un organisme peut faire le choix de s’en écarter au regard des conditions particulières tenant à sa situation et de conserver les données pour une durée plus longue, sous réserve que cette durée n’excède pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées et sous réserve d’être en mesure d’en justifier.
81. S’agissant de la conservation des données des clients à des fins de prospection commerciale, le référentiel susvisé recommande une durée maximale de trois ans à compter de la fin de la relation commerciale.
82. La rapporteure considère que la durée de six ans mise en œuvre par la société pour la conserva-tion des données de ses clients à compter de la fin de la dernière prestation réalisée pour leur compte, à des fins de prospection commerciale, apparait excessive. Elle souligne qu’il ressort des éléments transmis par la société, et notamment de son propre référentiel interne des durées de conservation (qui mentionne les durées prescrites légalement ainsi que celles recommandées par la CNIL), que celle-ci avait parfaitement conscience des durées recommandées et qu’elle a fait le choix de s’en écarter. Elle note également que les informations accessibles depuis le site web cosmospace.medium.fr font état de ce que les données sont conservées le temps de la relation commerciale et au maximum cinq ans après le dernier contact avec la société, ce qui ne corres-pond pas à la pratique constatée lors du contrôle. En outre, la rapporteure considère que cette durée de six ans doit être mise en perspective avec le nombre très élevé de messages de prospec-tion envoyés par la société, ainsi qu’avec le nombre de demandes d’exercice du droit d’opposition ou du droit d’effacement dont cette dernière est destinataire, témoignant de la gêne pouvant résulter de telles pratiques. 
83. En défense, la société souligne que les durées de conservation préconisées par la CNIL ne revêtent pas de caractère obligatoire et qu’un organisme peut faire le choix de s’en écarter.
84. Elle fait valoir que la durée pratiquée de six ans est adaptée aux particularités du marché, et produit une étude réalisée par ses soins révélant qu’une partie de ses clients inactifs consommeraient à nouveau une prestation auprès de la société alors que leur dernière consommation daterait de plus de trois ans. Elle estime le chiffre d’affaires généré par ces clients à plus de 1,1 million d’euros pour l’année 2022. Elle souligne que, compte tenu de la nature des consultations délivrées, il apparait rassurant pour les clients que leurs données soient conservées, afin de leur permettre un accès personnalisé. La société relativise par ailleurs le nombre de demandes d’exercice du droit d’opposition ou du droit à l’effacement qu’elle reçoit au regard du nombre total de contacts avec ses clients et prospects. En outre, elle relève que la durée de conservation mise en œuvre apparait en totale adéquation avec les durées de prescription civile (cinq ans) et pénale (six ans). Elle considère en tout état de cause ne pas avoir commis de manquement, dans la mesure où elle a mis en place une politique claire de durées de conservation des données, qu’elle applique et respecte. 
85. La formation restreinte relève qu’en l’espèce, la société conserve les données de ses clients pendant une durée de six ans à compter de la fin de la dernière prestation réalisée pour leur compte, à des fins notamment de prospection commerciale.
86. Premièrement, la formation restreinte relève que le manquement reproché à la société porte exclusivement sur la durée de conservation des données de ses clients à des fins de prospection commerciale, et non sur la durée mise en œuvre pour d’autres finalités. Elle rappelle notamment que, lorsque les données à caractère personnel ne sont plus utilisées pour atteindre l’objectif ayant justifié la collecte des données (par exemple, lorsque la relation commerciale a pris fin) mais présentent encore un intérêt administratif pour l'organisme (par exemple pour la gestion d’un éventuel contentieux) ou doivent être conservées pour répondre à une obligation légale, elles peuvent être conservées en faisant l’objet d’un archivage intermédiaire, permettant leur consultation par des personnes spécifiquement habilitées (CNIL, FR, 28 mai 2019, Sanction, SAN-2019-005, publié ; CNIL, FR, 29 octobre 2021, Sanction, SAN-2021-019, publié ; CNIL, FR, 7 juillet 2022, Sanction, SAN-2022-015, publié ; CNIL, FR, 29 décembre 2023, Sanction, SAN-2023-023, publié).
87. Deuxièmement, la formation restreinte considère que la durée de six ans mise en œuvre par la société n’apparait pas proportionnée au regard de la finalité relative à la prospection commerciale. La formation restreinte relève en effet que les éléments produits par la société ne permettent pas de justifier la durée pratiquée, laquelle conduit à conserver les données deux fois plus longtemps que la durée recommandée par la CNIL au sein de son référentiel gestion des activités commerciales. 
88. S’agissant de l’étude produite par la société, la formation restreinte note tout d’abord que celle-ci révèle que la majorité des clients visés par cette étude sont revenus consulter après une durée d’inactivité de trois années ou moins (63%). Elle observe ensuite que l’étude en cause ne vise que les clients étant revenus consulter après une période d’inactivité comprise entre un an et six ans, mais ne comprend pas ceux qui ne sont pas revenus consulter, ni ceux revenus consulter après une période d’inactivité inférieure à un an. Ainsi, comme le relevait la rapporteure, les 37% évoqués ne correspondent pas à 37% des clients de la société, comme cette dernière l’affirme, ni même au total des clients inactifs (revenus consulter ou non), la proportion du nombre de clients étant revenus consulter après une période d’inactivité comprise entre trois et six ans, par rapport au nombre total de clients de la société, étant nécessairement inférieure.
89. La formation restreinte entend par ailleurs rappeler que les durées préconisées par la CNIL au sein de son référentiel sont définies, notamment, au regard de la gêne susceptible d’être occasionnée par l’envoi répété de messages de prospection commerciale. La formation restreinte a, à cet égard, sanctionné un organisme conservant les données de ses clients inactifs pendant une durée de quatre ans à des fins de prospection commerciale, soulignant que la durée recommandée de trois ans était déjà conséquente (CNIL, FR, 18 novembre 2020, Sanction, SAN-2020-008, publié). En l’espèce, la formation restreinte considère que l’envoi massif de messages de prospection commerciale par la société – celle-ci ayant indiqué avoir adressé en moyenne près d’un courriel par jour à ses clients inactifs sur les trois premiers trimestres 2021 (soit près de 30 millions de courriels à environ 112 000 personnes) – justifie d’autant plus de limiter la durée de conservation des données à trois ans, cette durée et la régularité des sollicitations émanant de la société laissant très largement l’opportunité aux personnes concernées de se manifester si elles souhaitent de nouveau avoir recours aux services de la société. 
90. Par conséquent, la formation restreinte relève que le fait, pour la société, de conserver les données de ses clients pendant une durée de six ans à des fins de prospection commerciale, constitue un manquement aux dispositions de l’article 5, paragraphe 1, e) du RGPD.