AgentPublic/cnil huggingface dataset:
9. Aux termes de l’article 4, point 2, du RGPD, le traitement de données à caractère personnel s’entend comme toute opération ou tout ensemble d'opérations effectuées ou non à l'aide de procédés automatisés et appliquées à des données ou des ensembles de données à caractère personnel, telles que la collecte, l'enregistrement, l'organisation, la structuration, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, la limitation, l'effacement ou la destruction . L’article 4, point 7 du RGDP définit le responsable de traitement comme la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement .
10. La formation restreinte relève que, dans l’écosystème de la prospection commerciale, la qualité à conférer aux différents acteurs de la chaîne en matière de responsabilité de traitement – à savoir à l’annonceur pour le compte duquel la prospection électronique est adressée et à l’intermédiaire intervenant entre lui et le primo-collectant, qui peut notamment être chargé de l’envoi des messages de prospection électronique pour l’annonceur – dépend d’un certain nombre de paramètres (comme par exemple la propriété de la base de données, ses modalités de constitution et de gestion, les choix opérés en matière de segmentation ou encore le degré et la précision des instructions données par l’annonceur). Ces attribution et répartition des responsabilités entre les différents acteurs peuvent varier en fonction des rôles et des actions menées par chacun, selon les cas d’espèce, et elles doivent par conséquent faire l’objet d’une analyse au cas par cas. La qualification retenue par les acteurs eux-mêmes, notamment dans leurs actes contractuels, constitue un élément important à prendre en compte, mais non déterminant s’il ne correspond pas à la réalité des critères de l’article 4 du RGPD. En fonction des cas de figure, peuvent être qualifiés de responsables de traitement l’annonceur, c’est-à-dire l’entité souhaitant promouvoir ses produits ou services (v. CNIL, FR, 3 août 2022, n° SAN-2022-017, publié ; CNIL, 24 novembre 2022, n° SAN-2022-021, publié ; CNIL, FR, 12 octobre 2023, n°
SAN-2023-015, publié ; CE, 23 mars 2015, GROUPE DSE, n° 357556, Rec.) ou encore certains prestataires spécialisés offrant des services publicitaires et produits de marketing (v. CE, 11 mars 2015, TUTO4PC, n° 368624, T ; CNIL, FR, 7 décembre 2020, SAN-2020-016, publié). Parmi ces prestataires figurent des sociétés constituant des bases de données de contact à partir de diverses sources tierces (appelées primo-collectants ), qu’elles revendent à des partenaires ou utilisent pour proposer des prestations de prospection commerciale à des annonceurs. Ces acteurs peuvent, selon les configurations, être sous-traitants de l’annonceur ou responsables de traitement des opérations de prospection, sans exclure une possible coresponsabilité entre l’annonceur et son prestataire.
11. En matière de prospection commerciale, la formation restreinte a par exemple retenu la qualité de responsable de traitement d’un organisme ayant pour activité la constitution d’une base de données de contacts destinés à la prospection commerciale par voie électronique ainsi que l’envoi de courriers électroniques de prospection au bénéfice d’annonceurs, sur la base des éléments suivants : en premier lieu, s’agissant de la détermination des finalités, la formation restreinte relève que […] la société est propriétaire de la base de données utilisée dans le cadre des campagnes de prospection, les annonceurs et agences web ne fournissant pas les données à caractère personnel des prospects à contacter et n’ayant pas accès aux données à caractère personnel des prospects. En second lieu, la formation restreinte considère que la société détermine les moyens essentiels du traitement en ce qu’elle définit les données personnelles qui figurent dans sa base de prospects, les durées pendant lesquelles ces données y sont conservées et les éventuelles mises à jour devant être opérées. En conséquence, et sans qu’en l’espèce il soit nécessaire de se prononcer sur une éventuelle responsabilité conjointe des partenaires annonceurs de la société […], la formation restreinte retient que cette dernière a défini les finalités et les moyens du traitement lié à la gestion et la mise à disposition de sa base de données personnelles à des fins de prospection commerciale par courrier électronique
(CNIL, FR, 7 décembre 2020, SAN-2020-016, publié).
12. La rapporteure considère d’abord que la société CALOGA intervient en qualité de responsable du traitement pour les activités de prospection commerciale par voie électronique effectuées à partir des données contenues dans ses bases pour le compte de ses clients annonceurs. Ensuite, s’agissant de la transmission de données de prospects à ses partenaires afin qu’ils réalisent des opérations de prospection commerciale par voie électronique pour le compte d’annonceurs, la rapporteure considère que la société CALOGA intervient en qualité de responsable de traitement conjoint avec les partenaires destinataires des données.
13. La société confirme sa qualité de responsable du traitement pour la gestion de la base et les opérations de prospection commerciale par voie électronique effectuées pour le compte d’annonceurs. S’agissant des opérations de transmission de données de prospects, la société considère, contrairement au rapporteur, que ses partenaires ont la qualité de sous-traitant, et que l’exigence d’un consentement valable des prospects pour la transmission de leurs données ne saurait lui être opposé dans ce cadre, les données étant transmises à des sous-traitants. La base légale de ce traitement serait, selon la société, l’intérêt légitime. Elle indique avoir procédé à une analyse personnelle de la qualité des différents intervenants et qu’il ne peut pas lui être reproché d’avoir abouti à une conclusion différente de celle de la CNIL.
14. S’agissant de la constitution des bases de données de la société CALOGA, la formation restreinte relève que la société CALOGA achète ses données, collectées via des jeux concours ou des tests de produits, à des partenaires commerciaux (les primo-collectants ) pour constituer ses bases de données prospects dont elle est propriétaire. A ce titre, il est prévu, notamment dans le contrat conclu avec la société […], fournisseur de données, que la société CALOGA devient elle-même un responsable du traitement dès lors qu’elle utilise les données à caractère personnel des internautes ayant accepté de rejoindre sa base pour mettre en œuvre des traitements dont elle a défini les finalités et les moyens . Les données collectées dans ce cadre sont les nom, prénom, civilité, adresse électronique, code postal, date de naissance et, de façon épisodique, l’adresse postale. Elle relève également que la société met en œuvre ce traitement de prospection commerciale en démarchant les prospects présents dans ses quatre bases de données (CALOGA, ZEPLAN, BASYLO ou VOZEKO) et en choisissant elle-même les segments qui seront démarchés.
15. Il apparaît ainsi que la société est responsable du traitement portant sur la constitution de ses quatre bases de données de contacts.
16. S’agissant de la réalisation d’opérations de prospection commerciale au bénéfice des clients annonceurs, la formation restreinte note que la société CALOGA offre un service d’envoi de courriels de prospection à la demande d’agences ou de plateformes d’affiliation qui fournissent à la société CALOGA des kits de prospection pour le compte d’annonceurs finaux.
17. Il ressort des éléments du dossier qu’en pratique, ces opérations de prospection commerciale par voie électronique sont réalisées à partir de données issues d’une des bases de données de la société CALOGA, déterminée en fonction de la volumétrie souhaitée, que la société a elle-même constituées à partir de données de prospects transmis par ses partenaires primo-collectants. En pareille hypothèse, les clients de la société CALOGA, non seulement ne fournissent pas les données utilisées, mais n’y ont en outre pas accès.
18. Il apparaît ainsi que, s’agissant des opérations de prospection commerciale pour le compte d’annonceurs, la société agit au moins en partie comme responsable de traitement lorsque ces opérations sont réalisées à partir de ses bases de données. A cet égard, il convient de souligner que la société a confirmé sa qualité de responsable de traitement, d’abord dans le cadre du contrôle sur place effectué en mai 2022, puis dans le cadre de ses observations avec la rapporteure. Par ailleurs, et sans qu’il soit nécessaire en l’espèce de se prononcer sur l’éventuelle responsabilité conjointe de ses clients, la formation restreinte observe que cette responsabilité de CALOGA n’exclut pas celle des annonceurs, agissant comme responsables conjoints du traitement. Il est également possible que dans certains cas la société CALOGA agisse comme sous-traitant de ses clients, mais ces hypothèses ne sont pas en cause en l’espèce.
19. Au vu de l’ensemble de ce qui précède, la formation restreinte entend préciser que la présente décision concerne les traitements pour lesquels la société CALOGA est, et se reconnait, responsable de traitement, et qui portent sur la réalisation d’opérations de prospection électronique à partir de ses bases au bénéfice de clients annonceurs.
20. S’agissant de la transmission des données de prospects à des fins de prospection commerciale par voie électronique, la formation restreinte relève que la société transmet régulièrement (une fois par mois) les données de prospects actifs présents au sein de ses bases de données, qu’elle a constituées, à des partenaires, principalement les sociétés […], afin qu’ils réalisent à leur tour des opérations de prospection commerciale par voie électronique pour le compte de leurs propres clients annonceurs. Cette transmission est réalisée par la livraison, au partenaire, d’une ou plusieurs bases de données de la société CALOGA, le partenaire ayant le choix de la base ou des bases de données qu’il veut recevoir. Cette livraison est effectuée par le téléchargement d’un fichier sécurisé qui annule et remplace le précédent. Les sociétés à qui les données sont transmises, telles […] ou […], effectuent ensuite de nouvelles opérations de prospection commerciale, notamment par voie électronique, pour le compte de leurs clients annonceurs à partir des bases dont ils ont ciblé avec leurs propres outils les segments qu’ils souhaitent solliciter. Ces opérations constituent de nouveaux traitements de données à caractère personnel, mis en œuvre par d’autres responsables de traitement que la société CALOGA.
21. Dans ces conditions, la formation restreinte considère que la société doit être regardée comme responsable de traitement, tant pour les opérations de prospection commerciale par voie électronique réalisées au bénéfice de ses clients à partir de sa base de données - nonobstant l’éventuelle responsabilité conjointe desdits clients et à l’exclusion de cas où elle n’agirait qu’en qualité de sous-traitant - que pour la transmission de données de prospects à des partenaires, afin qu’ils réalisent eux-mêmes de la prospection commerciale par voie électronique. 
B. Sur la régularité de la procédure menée à l’encontre de la société
22. La société affirme qu’il ne saurait lui être reproché l’absence de vérifications s’agissant de la conformité du recueil du consentement sur le fondement d’exigences qui n’existaient pas au moment des contrôles. Une telle pratique porterait manifestement atteinte aux principes de la légalité des délits et des peines et de non-rétroactivité.
23. La formation restreinte entend préciser que le cadre juridique applicable sera examiné, au sein de la présente délibération, pour chacun des manquements relevés. Elle rappelle néanmoins d’ores et déjà que les décisions visées par la société comme étant postérieures aux opérations de contrôle ne constituent que l’application de règles pré-existantes et ne sauraient, dans ces conditions, se voir opposer le principe de non-rétroactivité des règles répressives, qui ne concerne que les règles à caractère impératif.
24. Elle souligne également que, si la CNIL dispose de pouvoirs de publication de lignes directrices, recommandations ou référentiels destinés à faciliter la mise en conformité des traitements de données à caractère personnel avec les textes relatifs à la protection des données à caractère personnel (en application de l’article 8, paragraphe 2, b) de la loi Informatique et Libertés), les règles juridiques sont fixées par les législateurs français et européen et interprétées par les juridictions compétentes, et sont directement applicables aux organismes concernés. Dès lors, l’adoption par la CNIL de référentiels ou lignes directrices n’est pas un préalable à l’obligation de respecter les règles déjà édictées et à l’application de sanctions prévues par le RGPD ou la loi Informatique et Libertés en cas de violation. La formation restreinte relève par ailleurs qu’en l’espèce, les règles établies en matière de prospection commerciale, éclairées par les publications de la CNIL tel son référentiel relatif aux traitements de données à caractère personnel mis en œuvre aux fins de gestion des activités commerciales adopté en septembre 2021 et les pages dédiées à la question sur son site web, ainsi que par les lignes directrices 5/2020 sur le consentement au sens du règlement (UE) 2016/679 adoptées par le Comité européen de la protection des données (ci-après, le CEPD ), permettaient aux acteurs d’appréhender, de manière suffisamment précise, le cadre juridique applicable et les
obligations pesant sur eux.
25. Enfin, la formation restreinte entend souligner qu’il ressort du principe de responsabilité, tel que défini par le RGPD, qu’il appartient à l’organisme réalisant les traitements de définir et mettre en œuvre les mesures permettant le respect des dispositions légales applicables. A cet égard, le considérant 74 du RGPD dispose qu’ il y a lieu d'instaurer la responsabilité du responsable du traitement pour tout traitement de données à caractère personnel qu'il effectue lui-même ou qui est réalisé pour son compte. Il importe, en particulier, que le responsable du traitement soit tenu de mettre en œuvre des mesures appropriées et effectives et soit à même de démontrer la conformité des activités de traitement avec le présent règlement, y compris l'efficacité des mesures. Ces mesures devraient tenir compte de la nature, de la portée, du contexte et des finalités du traitement ainsi que du risque que celui-ci présente pour les droits et libertés des personnes physiques . Il apparait ainsi que c’est bien aux responsables de traitement – et non aux autorités de protection des données – qu’il appartient de déterminer les modalités pratiques de mise en œuvre des traitements qui leur paraissent les plus adaptées, à la condition que ces modalités leur permettent de démontrer le respect les obligations posées par les textes nationaux et européens.
C. Sur le manquement à l’obligation de recueillir le consentement des personnes concernées pour la mise en œuvre de prospection commerciale par voie électronique en application de l’article L. 34-5 du code des postes et des communications électroniques
26. A titre liminaire, la formation restreinte relève que la société réalise des opérations de prospection commerciale par courrier électronique à partir de données de prospects transmises par ses partenaires. Le cycle de vie de ces données peut ainsi être résumé de la manière suivante : les données sont collectées auprès des personnes concernées par des sociétés telles que […] et […] (appelées primo-collectants ), chargées contractuellement de recueillir le consentement des personnes concernées à faire l’objet de prospection commerciale par voie électronique. La collecte de ces données et le recueil du consentement s’effectuent par le biais de formulaires de participation à des jeux-concours en ligne, conçus par ces sociétés. Ensuite, ces données sont transmises à la société CALOGA, qui les intègre dans une ou plusieurs de ses bases de données puis les utilise pour réaliser des opérations de prospection commerciale par voie électronique. Pour ce faire, elle se fonde sur le consentement préalablement recueilli par ses partenaires primo-collectants, pour son compte, à partir des formulaires précités.
27. En droit, aux termes de l’article L. 34-5 du CPCE, est interdite la prospection directe au moyen de système automatisé de communications électroniques […], d'un télécopieur ou de courriers électroniques utilisant les coordonnées d'une personne physique, abonné ou utilisateur, qui n'a pas exprimé préalablement son consentement à recevoir des prospections directes par ce moyen. / Pour l'application du présent article, on entend par consentement toute manifestation de volonté libre, spécifique et informée par laquelle une personne accepte que des données à caractère personnel la concernant soient utilisées à fin de prospection directe. / Constitue une prospection directe l'envoi de tout message destiné à promouvoir, directement ou indirectement, des biens, des services ou l'image d'une personne vendant des biens ou fournissant des services. Pour l'application du présent article, les appels et messages ayant pour objet d'inciter l'utilisateur ou l'abonné à appeler un numéro surtaxé ou à envoyer un message textuel surtaxé relèvent également de la prospection directe .
28. Aux termes de l’article 4, paragraphe 11, du RGPD, on entend par consentement de la personne concernée toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l'objet d'un traitement .
29. La rapporteure relève que la société CALOGA réalise des opérations de prospection commer-ciale par voie électronique à partir de données de prospects collectées dans le cadre de jeux-concours, d’offres de tests de produits et de sondages par des sociétés, primo-collectantes. Les formulaires de collecte de données mis en place par les primo-collectants ne permettent pas de recueillir un consentement valable des personnes concernées et les mesures mises en place par la société pour s’assurer que le consentement recueilli est conforme aux exigences du RGPD ne sont pas suffisantes. 
30. En défense, la société affirme qu’elle ne pouvait pas prévoir la position de la CNIL sur la conception insatisfaisante des formulaires de collecte des données en l’absence de recommandation spécifique relative à la prospection commerciale, la recommandation cookies ne relevant pas du même secteur d’activité. Elle précise que les décisions évoquées par la rapporteure à l’appui de son argumentation sont postérieures aux opérations de contrôle.
31. Elle ajoute qu’elle ne dispose d’aucune marge de manœuvre sur l’édition des supports de recueil du consentement émis par les primo-collectants et qu’elle a mis en place des mesures pour vérifier la conformité du traitement dont elle a la responsabilité : encadrement contractuel et vérifications des données collectées.
1. Sur cadre juridique applicable et la responsabilité de la société CALOGA
1.1 Sur les conditions de validité du consentement
32. La société considère qu’à l’époque du contrôle, en mai 2022, le cadre juridique applicable ne lui permettait pas de conclure à l’invalidité des mécanismes de recueil du consentement mis en œuvre par ses partenaires. Elle soutient en effet que ce n’est que par une délibération du 29 décembre 2023 (CNIL, FR, 29 décembre 2023, Sanction, n° 2023-025, publié) que la formation restreinte s’est prononcée sur les modalités spécifiques de ce recueil dans le contexte des jeux-concours organisés par les primo-collectants, et qu’elle n’était pas en capacité d’anticiper une telle décision. Elle fait par ailleurs valoir que les recommandations et lignes directrices relatives aux cookies, citées au sein du rapport, ne peuvent trouver à s’appliquer en matière de prospection commerciale.
33. La formation restreinte rappelle que l’ensemble des règles applicables en matière de prospection par voie électronique, ainsi que celles relatives au consentement, sont fixées depuis de nombreuses années et qu’elles précèdent non seulement la publication de la décision susvisée, mais également les opérations de contrôle menées en mai 2022 auprès de la société CALOGA.
34. La formation restreinte rappelle ainsi que le consentement spécifique requis par les dispositions de l’article L. 34-5 du CPCE, combinées à celles de l’article 4 du RGPD, doit s’entendre comme une manifestation de volonté libre, spécifique, éclairée et univoque et ne peut résulter que d’un consentement exprès de l’utilisateur, donné en toute connaissance de cause après une information adéquate sur l’usage qui sera fait de ses données personnelles.
35. Elle relève que la Cour de justice de l’Union européenne a précisé, dans sa décision Planet49 GmbH de 2019 qui portait sur la validité du consentement donné dans le cadre d’une participation à un jeu-concours en ligne, que : l’article 7, sous a) de la directive 95 prévoit que le consentement de la personne concernée peut rendre un tel traitement licite pour autant que ce consentement est indubitablement donné par la personne concernée. Or, seul un comportement actif de la part de cette personne en vue de manifester son consentement est de nature à remplir cette exigence (CJUE, grande chambre, 1er octobre 2019, Planet49 GmbH, C-673/17, ECLI:EU:C:2019:801, point 54). Dès lors, il convient de considérer qu’à défaut d’être donné indubitablement, le consentement doit être considéré comme faisant défaut, ce qui rend le traitement illégal pour défaut de base légale. Plus précisément sur les modalités de recueil, la CJUE affirme que la manifestation de volonté visée à l’article 2, sous h), de la directive 95/46 doit, notamment, être spécifique , en ce sens qu’elle doit porter précisément sur le traitement de données concerné et ne saurait être déduite d’une manifestation de volonté ayant un objet distinct. En l’occurrence, contrairement à ce qu’a fait valoir Planet49, le fait pour un utilisateur d’activer le bouton de participation au jeu promotionnel organisé par cette société ne saurait dès lors suffire pour considérer que l’utilisateur a valablement donné son consentement au
placement de cookies (Idem, points 58-59).
36. En outre, le Conseil d’Etat a retenu que le consentement libre, spécifique, éclairé et univoque ne peut qu'être un consentement exprès de l'utilisateur, donné en toute connaissance de cause et après une information adéquate sur l'usage qui sera fait de ses données personnelles. (CE, 10ème et 9ème chambres réunies, 19 juin 2020, Google LLC, n° 430810, pt. 21).
37. La formation restreinte remarque également, à titre d’illustration, que dès 2017, le groupe de travail Article 29 (aujourd’hui Comité européen de la protection des données, ci-après le CEPD ) a publié des lignes directrices sur le consentement visant à clarifier les nouvelles dispositions introduites par le RGPD. De nouvelles lignes directrices 5/2020 sur le consentement ont été adoptées le 4 mai 2020, et précisent que le caractère libre du consentement implique un choix et un contrôle réel pour les personnes concernées. En règle générale, le RGPD dispose que si la personne concernée n’est pas véritablement en mesure d’exercer un choix, se sent contrainte de consentir ou subira des conséquences négatives importantes si elle ne donne pas son consentement, le consentement n’est pas valable […] En termes généraux, toute pression ou influence inappropriée exercée sur la personne concernée (pouvant se manifester de différentes façons) l’empêchant d’exercer sa volonté rendra le consentement non valable .