AgentPublic/cnil huggingface dataset:
37. La formation restreinte relève que la société réalise des opérations de prospection commerciale par SMS et courrier électronique, au bénéfice d’environ 300 clients, à partir de données de prospects transmises par ses partenaires. Le cycle de vie de ces données peut ainsi être résumé de la manière suivante : les données sont collectées auprès des personnes concernées par des sociétés telles que [X2], [X1] ou encore [X3] (appelées "primo-collectants "), chargées contractuellement de recueillir le consentement des personnes concernées à faire l’objet de prospection commerciale par voie électronique. La collecte de ces données et le recueil du consentement s’effectuent par le biais de formulaires de participation à des jeux-concours en ligne, conçus par ces sociétés. Ensuite, ces données sont transmises à la société SOMS, qui les intègre dans sa base […] puis les utilise pour réaliser des opérations de prospection commerciale par voie électronique au bénéfice de ses clients. Pour ce faire, elle se fonde sur le consentement préalablement recueilli par ses partenaires primo-collectants, pour son compte, à partir des formulaires précités. Au cours de l’année 2022, la société a ainsi démarché par SMS plus de 4,7 millions de personnes uniques dont les données lui ont été transmises par ses partenaires, et plus de 500 000 par courriel.
Sur le manquement à l’obligation de recueillir le consentement des personnes concernées pour la mise en œuvre de prospection commerciale par voie électronique en application de l’article L. 34-5 du code des postes et des communications électroniques (données fournies par les sociétés [X1] et [X2]) 
38. Aux termes de l’article L. 34-5 du CPCE, "est interdite la prospection directe au moyen de système automatisé de communications électroniques au sens du 6° de l'article L. 32, d'un télécopieur ou de courriers électroniques utilisant les coordonnées d'une personne physique, abonné ou utilisateur, qui n'a pas exprimé préalablement son consentement à recevoir des prospections directes par ce moyen.
Pour l'application du présent article, on entend par consentement toute manifestation de volonté libre, spécifique et informée par laquelle une personne accepte que des données à caractère personnel la concernant soient utilisées à fin de prospection directe.
Constitue une prospection directe l'envoi de tout message destiné à promouvoir, directement ou indirectement, des biens, des services ou l'image d'une personne vendant des biens ou fournissant des services. Pour l'application du présent article, les appels et messages ayant pour objet d'inciter l'utilisateur ou l'abonné à appeler un numéro surtaxé ou à envoyer un message textuel surtaxé relèvent également de la prospection directe […] .
39. Aux termes de l’article 4, paragraphe 11 du RGPD, on entend par "consentement "de la personne concernée "toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l'objet d'un traitement .
40. Le rapporteur considère en substance que la conception des formulaires de participation aux jeux-concours en ligne à partir desquels les partenaires de la société collectent les données utilisées par cette dernière pour réaliser ses opérations de prospection ne permet pas de recueillir un consentement libre et univoque de l’utilisateur, et incite fortement celui-ci à accepter la transmission de ses données ainsi que leur utilisation à des fins de prospection commerciale. Il estime que, dans ces conditions, la société ne peut se prévaloir d’un tel consentement pour réaliser ses opérations de prospection par voie électronique et qu’un manquement à l’article L. 34-5 du CPCE est constitué.
41. En défense, la société conteste le manquement reproché et soutient avoir respecté l’ensemble des obligations lui incombant, compte tenu du cadre juridique applicable à l’époque du contrôle.
1.1. Sur le cadre juridique applicable et la responsabilité de la société SOMS 
1.1.1. Sur les conditions de validité du consentement
42. La société considère qu’à l’époque du contrôle, en octobre 2022, le cadre juridique applicable ne lui permettait pas de conclure à l’invalidité des mécanismes de recueil du consentement mis en œuvre par ses partenaires. Elle soutient en effet que ce n’est que par une délibération du 29 décembre 2023 (CNIL, FR, 29 décembre 2023, Sanction, n° 2023-025, publié) que la formation restreinte s’est prononcée sur les modalités spécifiques de ce recueil dans le contexte des jeux-concours organisés par les primo-collectants, et qu’elle n’était pas en capacité d’anticiper une telle décision. La société insiste sur le principe de non-rétroactivité des règles répressives. Elle fait par ailleurs valoir que les recommandations et lignes directrices relatives aux cookies, citées au sein du rapport, ne peuvent trouver à s’appliquer en matière de prospection commerciale.
43. La formation restreinte rappelle que l’ensemble des règles applicables en matière de prospection par voie électronique, ainsi que celles relatives au consentement, sont fixées depuis de nombreuses années et qu’elles précèdent non seulement la publication de la décision susvisée, mais également les opérations de contrôle menées en octobre 2022 auprès de la société SOMS.
44. La formation restreinte rappelle ainsi que le consentement spécifique requis par les dispositions de l’article L. 34-5 du CPCE, combinées à celles de l’article 4 du RGPD, doit s’entendre comme une manifestation de volonté libre, spécifique, éclairée et univoque et ne peut résulter que d’un consentement exprès de l’utilisateur, donné en toute connaissance de cause après une information adéquate sur l’usage qui sera fait de ses données personnelles.
45. Elle relève que la Cour de justice de l’Union européenne a précisé, dans sa décision Planet49 GmbH de 2019 qui portait sur la validité du consentement donné dans le cadre d’une participation à un jeu-concours en ligne, que : "l’article 7, sous a) de la directive 95 prévoit que le consentement de la personne concernée peut rendre un tel traitement licite pour autant que ce consentement est "indubitablement "donné par la personne concernée. Or, seul un comportement actif de la part de cette personne en vue de manifester son consentement est de nature à remplir cette exigence "(CJUE, grande chambre, 1er octobre 2019, Planet49 GmbH, C-673/17, ECLI:EU:C:2019:801, point 54). Dès lors, il convient de considérer qu’à défaut d’être donné indubitablement, le consentement doit être considéré comme faisant défaut, ce qui rend le traitement illégal pour défaut de base légale. Plus précisément sur les modalités de recueil, la CJUE affirme que "la manifestation de volonté visée à l’article 2, sous h), de la directive 95/46 doit, notamment, être "spécifique , en ce sens qu’elle doit porter précisément sur le traitement de données concerné et ne saurait être déduite d’une manifestation de volonté ayant un objet distinct. En l’occurrence, contrairement à ce qu’a fait valoir Planet49, le fait pour un utilisateur d’activer le bouton de participation au jeu promotionnel organisé par cette société ne saurait dès lors suffire pour considérer que l’utilisateur a valablement donné son
consentement au placement de cookies "(ibid, points 58-59).
46. En outre, le Conseil d’Etat a retenu que "le consentement libre, spécifique, éclairé et univoque ne peut qu'être un consentement exprès de l'utilisateur, donné en toute connaissance de cause et après une information adéquate sur l'usage qui sera fait de ses données personnelles. "(CE, 10ème et 9ème chambres réunies, 19 juin 2020, Google LLC, n° 430810, point 21).
47. La formation restreinte remarque également, à titre d’illustration, que dès 2017, le groupe de travail "Article 29 "(aujourd’hui Comité européen de la protection des données) a publié des lignes directrices sur le consentement visant à clarifier les nouvelles dispositions introduites par le RGPD. De nouvelles lignes directrices 5/2020 sur le consentement ont été adoptées le 4 mai 2020, et précisent que le caractère libre du consentement "implique un choix et un contrôle réel pour les personnes concernées. En règle générale, le RGPD dispose que si la personne concernée n’est pas véritablement en mesure d’exercer un choix, se sent contrainte de consentir ou subira des conséquences négatives importantes si elle ne donne pas son consentement, le consentement n’est pas valable […] En termes généraux, toute pression ou influence inappropriée exercée sur la personne concernée (pouvant se manifester de différentes façons) l’empêchant d’exercer sa volonté rendra le consentement non valable .
48. Enfin, la formation restreinte souligne que les travaux conduits par la Commission sur les pratiques mises en œuvre en matière de cookies s’agissant des bannières de recueil du consentement peuvent utilement servir à apprécier de manière plus générale les conditions de recueil d’un consentement libre, univoque, spécifique et éclairé, et servir de référence en matière de prospection commerciale lorsqu’elle est fondée sur le recueil du consentement. Il convient en effet de rappeler que les règles générales relatives aux conditions de validité du consentement, tirées notamment de l’article 4 du RGPD, n’ont pas vocation à différer en fonction du secteur concerné et que la CNIL n’est pas tenue de prendre des recommandations spécifiques à chaque secteur. A cet égard, la délibération n° 2020-091 du 17 septembre 2020 portant adoption de lignes directrices relatives aux "cookies et autres traceurs "rappelle expressément que le consentement exigé par l’article 82 de la loi Informatique et Libertés renvoie à la définition et aux conditions prévues aux articles 4.11 et 7 du RGPD (§ 5 et 6).
49. Ainsi, à titre d’illustration et de comparaison, la formation restreinte note que dans sa délibération n° 2020-092 du 17 septembre 2020 portant adoption d’une recommandation proposant des modalités pratiques de mise en conformité en cas de recours aux "cookies et autres traceurs , la Commission recommande aux organismes concernés de s’assurer "que les utilisateurs prennent la pleine mesure des options qui s’offrent à eux, notamment au travers du design choisi et de l’information délivrée (§ 10) […] Afin de ne pas induire en erreur les utilisateurs, la Commission recommande que les responsables de traitement s’assurent que les interfaces de recueil des choix n’intègrent pas de pratiques de design potentiellement trompeuses laissant penser aux utilisateurs que leur consentement est obligatoire ou qui mettent visuellement plus en valeur un choix plutôt qu’un autre. Il est recommandé d’utiliser des boutons et une police d’écriture de même taille, offrant la même facilité de lecture, et mis en évidence de manière identique "(§ 34). Elle ajoute qu’il convient "d’être attentif à ce que l’information accompagnant chaque élément actionnable permettant d’exprimer un consentement ou un refus soit facilement compréhensible et ne nécessite pas d’efforts de concentration ou d’interprétation de la part de l’utilisateur. Ainsi, il est notamment recommandé de s’assurer qu’elle n’est pas rédigée de telle manière qu’une lecture rapide ou peu attentive pourrait laisser croire que l’option
sélectionnée produit l’inverse de ce que les utilisateurs pensaient choisir. "(§ 23). A défaut, le caractère univoque du consentement ne serait pas caractérisé.
50. La formation restreinte remarque également que des études menées sur les pratiques des interfaces numériques, en particulier concernant les cookies, relèvent l’impact considérable de l’apparence des bannières de recueil du consentement sur le choix des utilisateurs, pouvant inciter ces derniers à faire des choix ne reflétant pas leurs préférences sur le partage des données.
51. En outre, contrairement à ce que soutient la société, la formation restreinte relève que la décision de sanction du 29 décembre 2023 (CNIL, FR, 29 décembre 2023, SAN-2023-025, publié) est fondée sur l’ensemble des éléments susvisés, sans poser aucune exigence nouvelle. Elle ne fait qu’appliquer des règles pré-existantes que la société était parfaitement en mesure d’appréhender.
52. Il ressort ainsi de l’ensemble de ces éléments que les règles relatives au consentement des personnes concernées sont bien antérieures aux opérations de contrôle menées à l’encontre de la société SOMS et qu’elles apparaissaient suffisamment claires et précises pour permettre à cette dernière d’apprécier la validité du consentement recueilli par ses partenaires et sur lequel elle se fonde pour réaliser ses opérations de prospection.
1.1.2. Sur les obligations pesant sur la société SOMS
53. La société reproche au rapporteur de vouloir instaurer un régime de responsabilités solidaires, non prévu par les textes, entre elle et ses partenaires primo-collectants. Elle considère en effet que sa responsabilité ne doit pas s’apprécier au regard de la licéité des mécanismes de recueil du consentement mis en œuvre par ses partenaires – ces derniers ayant, seuls, la maîtrise des supports de collecte qu’ils éditent –, mais au regard des obligations qui lui incombaient, en propre, au moment des constats.
54. A cet égard, elle soutient que le cadre juridique applicable à l’époque du contrôle ne permettait pas aux acteurs du marketing digital de rendre prévisibles les obligations pesant sur chacun d’eux, l’exigence de procéder à des vérifications des conditions de recueil du consentement par les destinataires des données n’ayant été posée, selon elle, qu’à l’occasion des décisions rendues par la formation restreinte au début de l’année 2024. Elle considère que le principe de non-rétroactivité des règles répressives s’oppose à ce qu’elle puisse être sanctionnée sur la base de ces décisions.
55. La société considère en tout état de cause avoir mis en œuvre les mesures nécessaires pour s’assurer de disposer d’un consentement valable, au regard des règles et recommandations applicables à l’époque du contrôle. Elle souligne à cet égard avoir, d’une part, encadré ses relations contractuelles avec ses partenaires primo-collectants et, d’autre part, procédé à des vérifications sur les formulaires mis en œuvre, alors même qu’elle n’y était pas tenue légalement.
56. La formation restreinte relève que le secteur du courtage en données se caractérise par l’existence d’une chaîne de traitements faisant intervenir plusieurs acteurs, avec comme point de départ la collecte des données par les primo-collectants, suivie de leur transmission à un ou plusieurs partenaires pour permettre à ces derniers de réaliser des opérations de prospection commerciale. Dans ce cadre, chacun des organismes impliqués doit, en fonction de sa responsabilité propre, s’assurer de la licéité des opérations auxquelles il participe dans cette chaîne de traitements.
57. La formation restreinte rappelle qu’en application des dispositions combinés des articles L. 34-5 du CPCE et 4 du RGPD, cette licéité exige, pour le responsable de traitement qui entend réaliser ou faire réaliser des opérations de prospection commerciale par voie électronique, de disposer d’un consentement univoque, spécifique, libre et informé des personnes concernées.
58. Lorsque les données des prospects n’ont pas été collectées directement auprès d’eux par le responsable de traitement de la prospection, ce consentement peut avoir été recueilli au moment de la collecte initiale des données par le primo-collectant, pour le compte du responsable de traitement. À défaut, il revient au responsable de traitement de recueillir ou faire recueillir un tel consentement avant de procéder à des actes de prospection (CNIL, FR, 24 novembre 2022, Sanction, n° SAN-2022-021, publié ; délibération n° 2021-131 du 23 septembre 2021 portant adoption d’un référentiel relatif aux traitements de données à caractère personnel mis en œuvre aux fins de gestion des activités commerciales).
59. A cet égard, la formation restreinte a retenu la responsabilité d’un organisme en considérant qu’un simple engagement contractuel de l’organisme fournissant les données de respecter le RGPD et les règles applicables en matière de prospection commerciale ne constituait pas une mesure suffisante (CNIL, FR, 24 novembre 2022, Sanction, n° SAN-2022-021, publié ; CNIL, FR, 31 janvier 2024, Sanction, n° SAN-2024-003, publié ; CNIL, FR, 4 avril 2024, Sanction, n° SAN-2024-004, publié).
60. La formation restreinte insiste sur le fait qu’à l’instar des règles régissant les conditions de validité du consentement, ces exigences ne sont pas nouvelles et qu’elles découlent des textes auxquels tout organisme qui entend réaliser des opérations de prospection commerciale par voie électronique est soumis en sa qualité de responsable de traitement.
61. En l’espèce, c’est bien la société SOMS qui, en tant que responsable des opérations de prospection directe par voie électronique qu’elle réalise, se trouve soumise aux dispositions de l’article L. 34-5 du CPCE (et non les primo-collectants qui, eux, ne prospectent pas directement les personnes concernées) lequel exige clairement, depuis la transposition en droit français de la directive ePrivacy en 2004, de recueillir le consentement des personnes concernées. Il lui appartient donc, à ce titre, de garantir la licéité de ces opérations en s’assurant de la validité du consentement dont elle entend se prévaloir ou, à défaut, en recueillant elle-même ledit consentement. Il convient de souligner que l’article 7 du RGPD prévoit à cet égard que "dans les cas où le traitement repose sur le consentement, le responsable de traitement est en mesure de démontrer que la personne concernée a donné son consentement au traitement de données à caractère personnel la concernant. "
62. Par ailleurs, la formation restreinte rappelle que, quel que soit l’organisme qui se charge de recueillir le consentement des personnes concernées, la validité de ce dernier – et donc la licéité des traitements fondés sur un tel consentement – ne peut s’apprécier qu’au moment de son recueil ce qui suppose, en l’espèce, d’examiner les formulaires de collecte mis en œuvre par les partenaires de la société.
63. Ainsi, dans la mesure où la société SOMS a fait le choix de ne pas recueillir elle-même ce consentement et de se prévaloir de celui recueilli par ses partenaires, le fait de s’assurer de la validité dudit consentement passe nécessairement par un contrôle des mécanismes de recueil mis en œuvre par les primo-collectants.
1.2. Sur la caractérisation du manquement 
64. La formation restreinte relève que, pour attester de la validité du consentement donné par les personnes ayant fait l’objet de prospection commerciale par voie électronique, la société a fourni des exemples de formulaires mis en œuvre par deux de ses principaux fournisseurs, les sociétés [X1] et [X2] (la société [X3] n’ayant, selon la société, pas répondu à ses sollicitations).
65. L’examen de ces formulaires permet d’observer qu’une large majorité d’entre eux (huit sur onze s’agissant des formulaires mis en œuvre par la société [X1], quatorze sur dix-huit s’agissant de ceux mis en œuvre par la société [X2]) se présente de façon similaire (formulaires dits "à bouton unique "). Après avoir complété ses coordonnées (et, le cas échéant, avoir coché une case permettant d’accepter le règlement du jeu), l’utilisateur a le choix entre cliquer sur un bouton "JE PARTICIPE "ou "JE VALIDE "(pouvant aussi s’intituler "VALIDER , "VALIDER MES COORDONNEES , "VALIDER MA PARTICIPATION , "CONFIRMER , "JE JOUE "ou encore "JE REPONDS AUX QUESTIONS POUR POSTULER "), situé au bas du formulaire et permettant à la fois de valider sa participation au jeu et de consentir à ce que ses données soient transmises à des partenaires et utilisées par ces derniers à des fins de prospection commerciale, ou cliquer sur un lien permettant de participer uniquement au jeu-concours, en refusant la transmission et l’utilisation de ses données à des fins de prospection commerciale (lien pouvant être contenu dans la phrase "si je souhaite continuer sans recevoir les offres des partenaires de […], je clique ici , ou encore "je souhaite passer à l’étape suivante sans accepter les offres commerciales de […] en cliquant sur ce lien ").
66. La formation restreinte considère que tels qu’ils sont conçus, les formulaires proposés ne permettent pas aux personnes concernées d’exprimer de manière valable un choix reflétant leurs préférences en matière de transmission et d’utilisation de leurs données à des fins de prospection commerciale. En effet, l’aperçu global des interfaces met particulièrement en valeur les boutons de type "JE PARTICIPE "ou "JE VALIDE "qui, par leur taille – nettement supérieure au reste des mentions – et leur couleur – qui tranche avec le fond utilisé –, se distinguent des autres informations délivrées. De même, leur intitulé évoque davantage la conclusion du parcours utilisateur plutôt qu’une utilisation des données à des fins de prospection commerciale dans la mesure où, en langage courant, on "valide "les informations renseignées dans un formulaire et on "autorise , on "accepte "une utilisation de données. Enfin, leur emplacement donne l’impression de devoir obligatoirement être cliqués pour terminer l’inscription et participer au jeu-concours. A contrario, le lien hypertexte permettant de participer au jeu sans accepter l’utilisation de ses données par les partenaires est présenté dans le corps du texte situé au-dessus ou en-dessous des boutons d’acceptation, en caractères d’une taille nettement inférieure à celle utilisée pour les boutons et sans mise en valeur particulière, de sorte qu’il n’apparait pas intuitif qu’il est possible de participer sans cliquer sur l’un des boutons
précités et donc sans transmettre ses données à des tiers à des fins de prospection. Le consentement recueilli est, dans ces conditions, dépourvu de caractère univoque et libre.
67. La formation restreinte note par ailleurs que certains des formulaires mis en œuvre par les sociétés [X2] et [X1] font figurer non pas un seul bouton, mais deux boutons (formulaires dits "à deux boutons "), dont l’un intitulé "JE VALIDE "et l’autre intitulé "JE REFUSE .
68. Or, si les informations figurant au-dessus du bouton "JE VALIDE "précisent bien qu’en cliquant sur ce bouton, l’utilisateur accepte que ses données soient transmises à des partenaires à des fins de prospection commerciale, il apparait en revanche que cet utilisateur n’est pas mis en mesure de comprendre les conséquences d’un clic sur le bouton "JE REFUSE . En effet, soit ces conséquences ne sont pas précisées (à l’instar du formulaire accessible à partir du site consoavenue.fr) et l’utilisateur peut dès lors penser qu’un tel clic entraîne l’impossibilité de participer au jeu ; soit, même lorsqu’il est précisé qu’un clic sur le bouton "JE REFUSE "permet de participer sans accepter la transmission et l’utilisation de ses données à des fins de prospection, une lecture rapide peut faire penser à l’utilisateur, compte tenu du vocabulaire employé, que le fait de "refuser "entraîne également refus de participer au jeu-concours, ce qui n’est pas le cas en l’espèce.
69. Dans ces conditions, la formation restreinte considère qu’à l’instar des formulaires à bouton unique et pour les mêmes motifs, la conception même de ces formulaires à deux boutons fournis par la société ne permet pas de recueillir un consentement libre et univoque dès lors que leur présentation incite fortement l’utilisateur à accepter la transmission de ses données à des fins de prospection commerciale.
70. La formation restreinte rappelle que, si la conception de ces formulaires ne lui est pas imputable en tant que telle, la société aurait dû, comme indiqué aux points 53 à 63 de la présente délibération, s’assurer de la validité du consentement dont elle entend se prévaloir pour réaliser ses opérations de prospection.