AgentPublic/cnil huggingface dataset:
3) Sur le manquement à l’obligation de recueillir le consentement préalable des personnes concernées à la collecte de catégories particulières de données en application de l’article 9 du RGPD 
91. En vertu de l’article 9, paragraphe 1 du RGPD, “ le traitement des données à caractère personnel qui révèle l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l'appartenance syndicale, ainsi que le traitement des données génétiques, des données biométriques aux fins d'identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l'orientation sexuelle d'une personne physique sont interdits “, sauf si ces traitements relèvent de l’une des conditions prévues au paragraphe 2, a) à j) du même article. 
92. Parmi ces conditions, il est notamment prévu que le traitement puisse avoir lieu “ si la personne concernée a donné son consentement explicite au traitement de ces données à caractère personnel pour une ou plusieurs finalités spécifiques, sauf lorsque le droit de l'Union ou le droit de l'État membre prévoit que l'interdiction visée au paragraphe 1 ne peut pas être levée par la personne concernée “ (article 9, paragraphe 2, a)).
93. La rapporteure observe que la société ne recueille pas le consentement préalable et explicite de ses clients ou prospects à la collecte de données sensibles. Elle vise, d’une part, les données relatives à l’orientation sexuelle des utilisateurs du site web cosmospace.medium.fr, recueillies par le biais d’un formulaire destiné à délivrer une prédiction sur leur compatibilité amoureuse et, d’autre part, les données sensibles recueillies par les voyants lors des consultations par téléphone (vie sexuelle, santé, convictions religieuses, etc.). 
94. En défense, s’agissant des données collectées par le biais du formulaire figurant sur le site web cosmospace.medium.fr, la société considère que les données en cause ne peuvent être qualifiées de données sensibles et que le fait de traiter à la fois la civilité et la date de naissance d’une personne est une pratique courante dans de nombreux domaines.
95. S’agissant des données recueillies dans le cadre des consultations par téléphone, la société affirme ne procéder à aucun traitement de données sensibles, et notamment à aucune collecte volontaire de telles données. Elle fait notamment valoir que les voyants ne posent aucune question relative à ce type de données, et affirme avoir mis en place des procédures afin que celles qui pourraient être spontanément délivrées par les clients ne soient mentionnées dans aucun fichier informatique ou papier. Elle souligne en outre que ses conditions générales interdisent la divulgation d’informations sensibles et que les clients qui communiqueraient de telles données s’inscriraient en violation de ces conditions. Elle ajoute ne faire aucun usage de ces données et ne délivrer aucun service sur cette base. 
96. Enfin, la société considère qu’en tout état de cause, dans l’hypothèse où il serait considéré que des catégories particulières de données sont traitées par la société, l’exception fondée sur l’article 9-2, e) du RGPD devrait alors trouver à s’appliquer, s’agissant d’informations manifestement rendues publiques par les personnes concernées.
97. Premièrement, la formation restreinte relève que la société procède bien au traitement de catégories particulières de données (dites données sensibles), au sens de l’article 9 du RGPD.
98. D’une part, elle note qu’il ressort du contrôle en ligne réalisé le 15 novembre 2021 à partir du site cosmospace.medium.fr qu’après création d’un compte utilisateur (nécessitant de renseigner, a minima, une adresse de courrier électronique, un prénom, un nom, un sexe et une date de naissance), la délégation a pu accéder à un formulaire destiné à délivrer aux utilisateurs du site une prédiction gratuite sur leur compatibilité amoureuse avec une personne de leur choix. Doivent être renseignés sur ledit formulaire le prénom, la date de naissance ainsi que le sexe de l’utilisateur, mais également le prénom, la date de naissance et le sexe de son/sa partenaire. 
99. La formation restreinte relève tout d’abord que ces informations, en ce qu’elles se rapportent à une personne physique identifiée ou identifiable – notamment grâce à la fourniture de l’identité complète de l’utilisateur et de son adresse de courrier électronique lors de l’inscription sur le site, étant rappelé que les constatations ont été réalisées alors que la délégation était connectée à son compte utilisateur –, constituent des “ données à caractère personnel “ au sens de l’article 4, paragraphe 1 du RGPD.
100. La formation restreinte rappelle ensuite que, dans un arrêt du 1er août 2022, la Cour de justice de l’Union européenne (ci-après, “ la CJUE “) a considéré que, même si les données en cause ne constituent pas, par nature, des données sensibles, elles doivent être considérées comme telles dès lors qu’elles sont susceptibles de dévoiler, de manière indirecte, l’orientation sexuelle de la personne concernée (CJUE, Grande Chambre, 1er août 2022, Vyriausioji tarnybinės etikos komisija, n° C184-20). 
101. En l’espèce, le fait que la société collecte à la fois le sexe de la personne concernée et celui de son/sa partenaire, dans un contexte de compatibilité amoureuse, permet d’en déduire l’orientation sexuelle de cette personne. Dès lors, les données recueillies doivent être qualifiées de données sensibles, au sens de l’article 9 du RGPD.
102. D’autre part, la formation restreinte note qu’il ressort des enregistrements transmis à la délégation de contrôle que, lors des consultations par téléphone, les clients peuvent communiquer aux voyants certaines données sensibles, telles que des données révélant leurs convictions religieuses, des données concernant leur santé ou encore leur vie sexuelle ou orientation sexuelle. Quand bien même la société indique ne pas utiliser ces données pour une finalité spécifique, il apparait que celles-ci font bien l’objet d’un traitement, dans la mesure où elles sont collectées (via l’enregistrement des conversations téléphoniques), conservées (pour une durée plus ou moins longue, la moitié des enregistrements étant supprimée à la fin de la journée, l’autre moitié étant conservée six mois), susceptibles d’être consultées (par exemple, en cas de contestation) et in fine supprimées. Différentes opérations de traitement visées à l’article 4, paragraphe 2 du RGPD sont ainsi effectuées en lien avec ces données.
103. Deuxièmement, la formation restreinte considère que le traitement de données sensibles recueillies à l’occasion de consultations de voyance ne peut intervenir que sur la base du consentement explicite des personnes concernées au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques, en application de l’article 9, paragraphe 2, a), du RGPD, aucune des autres conditions prévues au titre de l’article 9-2-b) à j) du RGPD n’étant mobilisable au cas d’espèce (CNIL, FR, Sanction, 8 juin 2023, SAN-2023-008, publié).
104. En effet, contrairement à ce qu’indique la société en défense, la formation restreinte relève qu’elle ne peut soutenir que le traitement mis en œuvre porterait “ sur des données à caractère personnel qui sont manifestement rendues publiques par la personne concernée “ (article 9, paragraphe 2, e) du RGPD). S’agissant de cette exception, les lignes directrices 8/2020 sur le ciblage des utilisateurs de médias sociaux adoptées le 13 avril 2021 par le Comité européen de la protection des données (ci-après, “ le CEPD “) rappellent qu’elle implique que “ les responsables de traitement puissent démontrer que la personne concernée a clairement manifesté son intention de les rendre publiques “, ce qui n’est pas le cas d’une conversation privée intervenant entre un voyant et un client.
105. S’agissant du consentement requis en application de l’article 9, paragraphe 2, a), du RGPD, la formation restreinte rappelle que le caractère explicite du consentement s’analyse au cas par cas et dépend du contexte du traitement des données sensibles. Lorsque le service demandé par l’utilisateur implique nécessairement le traitement de données sensibles, il est cependant nécessaire que l’utilisateur ait pleinement conscience de ce que ses données sensibles seront traitées et parfois conservées par le responsable de traitement, ce qui implique en principe une information explicite sur ce point lors du recueil du consentement. 
106. La formation restreinte rappelle que selon l’article 4, alinéa 11, du RGPD, la notion de consentement s’entend comme toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l'objet d'un traitement. 
107. D’une part, la formation restreinte considère que le caractère explicite du consentement prévu à l’article 9, paragraphe 2, a) du RGPD suppose de permettre à la personne concernée de manifester, par une action positive, son assentiment au traitement de données sensibles, attestant de la matérialité de son consentement.
108. À titre d’éclairage, la formation restreinte rappelle que dans ses lignes directrices sur le consentement au sens du règlement 2016/679 du 10 avril 2018, le CEPD indique que “ le RGPD stipule qu’une “ déclaration ou un acte positif clair “ est une condition sine qua non d’un consentement “ standard “. Dès lors que les exigences pour un consentement “ standard “ dans le RGPD sont déjà portées à un niveau supérieur à celles de la directive 95/46/CE, il convient de préciser quels efforts complémentaires un responsable du traitement devrait entreprendre afin d’obtenir le consentement explicite d’une personne concernée conformément au RGPD. Le terme explicite se rapporte à la façon dont le consentement est exprimé par la personne concernée. Il implique que la personne concernée doit formuler une déclaration de consentement exprès. Une manière évidente de s’assurer que le consentement est explicite serait de confirmer expressément le consentement dans une déclaration écrite. Le cas échéant, le responsable du traitement pourrait s’assurer que la déclaration écrite est signée par la personne concernée afin de prévenir tout doute potentiel et toute absence potentielle de preuve à l’avenir. Une telle déclaration signée n’est toutefois pas la seule façon d’obtenir le consentement explicite […] “ (lignes directrices 2016/679 WP259 rev.01 du 10 avril 2018, page 21).
109. La formation restreinte souligne qu’elle a, à plusieurs reprises, adopté des mesures correctrices à l’encontre de responsables de traitement ne recueillant pas le consentement explicite des personnes pour collecter et traiter leurs données “ sensibles “, notamment dans ses délibérations n° 2016-405 du 15 décembre 2016 et n° 2016-406 du 15 décembre 2016 ainsi que dans sa délibération n° SAN-2017-006 du 27 avril 2017 dans laquelle elle a considéré que “ le renseignement spontané de telles données n’exonère pas la société de l’obligation de recueillir le consentement exprès des personnes qui doivent être en mesure de manifester par une action positive leur assentiment au traitement de données sensibles, attestant ainsi que le consentement est donné en toute connaissance de cause “.
110. La formation restreinte relève donc, comme elle l’a déjà fait récemment à l’égard d’un autre organisme délivrant des prestations de voyance, que la simple volonté de recevoir ce type de prestation et le fait de livrer spontanément des informations sensibles ne constituent pas un consentement explicite des personnes concernées au traitement de leurs données, et que le responsable de traitement doit mettre à la disposition des personnes auprès desquelles il collecte des catégories particulières de données un moyen permettant de s’assurer qu’elles y consentent de manière explicite par un acte positif clair (CNIL, FR, 8 juin 2023, Sanction, SAN-2023-008, publié).
111. D’autre part, la formation restreinte rappelle que le consentement recueilli au titre de l’article 9, paragraphe 2, a) précité, du RGPD doit se lire à la lumière de la définition posée à l’article 4, paragraphe 11 précité du RGPD, ce qui implique que, pour consentir valablement, la personne concernée soit, au préalable, pleinement éclairée sur le caractère particulier des données qu’elle communique, notamment en ce que celles-ci peuvent révéler son état de santé et son orientation sexuelle, ainsi que sur l'usage qui sera fait de ces données.
112. En l’espèce, la formation restreinte note que la société ne délivre aucune information spécifique aux personnes concernées s’agissant de la collecte et du traitement des données recueillies à partir du formulaire figurant sur le site cosmospace.medium.fr et ne recueille pas leur consentement de manière explicite pour le traitement de ces données. 
113. De la même manière, dans le cadre des consultations par téléphone, ni les standardistes, ni les voyants ne délivrent d’information relative au traitement de telles données ni ne recueillent de consentement. 
114. Dès lors, la formation restreinte considère que la société ne fournit pas aux personnes concernées une information spécifique et ne recueille pas leur consentement de manière explicite, de sorte qu’elle ne peut se prévaloir de l’exception à l’interdiction de collecter et traiter des catégories particulières de données prévue à l’article 9, paragraphe 2, a) du RGPD.
115. En conséquence, la formation restreinte considère qu’en l’absence de recueil du consentement préalable et explicite des clients à la collecte de leurs données sensibles, et d’une information spécifique à ce sujet, un manquement à l’article 9 du RGPD est constitué. 
4) Sur le manquement à l’obligation de recueillir le consentement des personnes concernées pour la mise en œuvre de prospection commerciale par voie électronique en application de l’article L. 34-5 du CPCE 
116. Aux termes de l’article L. 34-5 du CPCE, “ est interdite la prospection directe au moyen de système automatisé de communications électroniques […], d'un télécopieur ou de courriers électroniques utilisant les coordonnées d'une personne physique […] qui n'a pas exprimé préalablement son consentement à recevoir des prospections directes par ce moyen. Pour l'application du présent article, on entend par consentement toute manifestation de volonté libre, spécifique et informée par laquelle une personne accepte que des données à caractère personnel la concernant soient utilisées à fin de prospection directe […] “.
117. Aux termes de l’article 4, paragraphe 11 du RGPD, on entend par “ consentement “ de la personne concernée “ toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l'objet d'un traitement “.
118. En application des dispositions combinées des articles L. 34-5 du CPCE et 4, paragraphe 11 du RGPD, l’organisme qui fait réaliser des opérations de prospection commerciale par voie électronique doit disposer d’un consentement libre, spécifique, éclairé et univoque des personnes concernées. 
119. La rapporteure relève que la société a indiqué procéder à des opérations de prospection commerciale par voie électronique à destination de prospects dont les données ont été recueillies par son partenaire, la société TELEMAQUE. Elle considère que la société COSMOSPACE ne dispose pas, pour réaliser ces opérations, du consentement éclairé des personnes concernées. Elle estime en effet que, lorsque la société TELEMAQUE collecte ces données par l’intermédiaire d’un formulaire présent sur son site web horoscope.fr, aucune liste des partenaires auxquels les données sont susceptibles d’être transmises n’est aisément accessible et que, dès lors, les personnes concernées ne peuvent s’attendre à recevoir des messages de prospection de la part de la société COSMOSPACE puisqu’elles n’y ont pas valablement consenti. 
120. En défense, la société considère, en premier lieu, que l’accord de responsabilité conjointe signée avec la société TELEMAQUE permet aux deux sociétés d’adresser des courriels et SMS indifféremment aux clients et prospects de l’une et de l’autre.
121. En deuxième lieu, la société soutient qu’une liste de partenaires était bien accessible depuis le formulaire visé et qu’aucun manquement ne peut donc être retenu. 
122. En troisième lieu, la société indique que, depuis les contrôles réalisés, le formulaire visé a évolué et que la liste des partenaires susceptibles d’adresser des courriels de prospection aux personnes concernées est désormais présentée conformément aux préconisations de la rapporteure. 
123. En quatrième et dernier lieu, la société considère qu’en tout état de cause, il apparait “ quasiment impossible “ de présenter aux utilisateurs une liste des partenaires, et encore moins une liste à jour. Selon elle, le fait de faire apparaître en clair une telle liste constitue une atteinte au secret des affaires et est en contradiction avec les clauses contractuelles (notamment les clauses de confidentialité) la liant à ses partenaires.
124. La formation restreinte rappelle que lorsque les données des prospects n’ont pas été collectées directement auprès d’eux par l’organisme qui prospecte, le consentement peut avoir été recueilli au moment de la collecte initiale des données par le primo-collectant, pour le compte de l’organisme qui réalisera les opérations de prospection ultérieures. À défaut, il revient à l’organisme qui prospecte de recueillir un tel consentement avant de procéder à des actes de prospection (CNIL, FR, 24 novembre 2022, Sanction, n°SAN-2022-021, publié ; CNIL, FR, 4 avril 2024, Sanction, n° SAN-2024-004, publié). 
125. En outre, pour que le consentement soit éclairé, les personnes doivent notamment être clairement informées de l’identité du prospecteur pour le compte duquel le consentement est collecté et des finalités pour lesquelles les données seront utilisées. Pour ce faire, une liste exhaustive et mise à jour des partenaires doit être tenue à la disposition des personnes au moment du recueil de leur consentement, par exemple directement sur le support de collecte ou, si celle-ci est trop longue, via un lien hypertexte renvoyant vers ladite liste à jour et les politiques de confidentialité des prestataires et fournisseurs (CNIL, FR, 24 novembre 2022, Sanction, SAN-2022-021, publié ; CNIL, FR, 12 octobre 2023, Sanction, SAN-2023-015, publié).
126. En l’espèce, il ressort de l’instruction que les sociétés COSMOSPACE et TELEMAQUE ont mis en place une base de données commune (plateforme “ data management platform “ ou “ DMP “), contenant l’ensemble des données à caractère personnel de leurs clients et prospects, ce qui représentait, au 6 octobre 2022, plus de 7 millions de fiches de contact pour plus de 1, 5 millions de personnes uniques (un même client ou prospect pouvant avoir plusieurs fiches, en fonction de son mode de prise de contact). Ces deux sociétés ont toutes deux confirmé traiter ces données, notamment à des fins de prospection commerciale, et ce indépendamment de la société ayant collecté lesdites données. Au cours des trois premiers trimestres 2022, la société COSMOSPACE a ainsi indiqué avoir envoyé 85 452 SMS et 7 364 453 courriels à un peu moins de 54 000 personnes (soit un courriel tous les deux jours) dont les coordonnées ont été recueillies par la société TELEMAQUE dans le cadre de ses services de voyance ou sur ses sites web. 
127. La formation restreinte relève par ailleurs que, pour l’envoi de courriers électroniques et SMS aux personnes dont les données ont été recueillies par la société TELEMAQUE, la société COSMOSPACE a indiqué ne pas recueillir le consentement préalable des personnes concernées, estimant que ce recueil aurait déjà été effectué pour son compte lors de la collecte des données par la société TELEMAQUE.
128. En premier lieu, s’agissant de l’accord de responsabilité conjointe existant entre les sociétés COSMOSPACE et TELEMAQUE, et dont la société se prévaut dans ce cadre, la formation restreinte rappelle que, malgré le statut de responsables conjoints défini contractuellement par les deux sociétés pour la gestion de leur base de données commune contenant les données de leurs clients et prospects, chaque société est responsable des opérations effectuées pour son propre compte à partir de cette base, notamment les opérations de prospection commerciale (CNIL, FR, 28 décembre 2021, Sanction, SAN-2021-021, publié).
129. Dès lors, l’existence d’un tel accord n’exonère pas les sociétés signataires de la nécessité de disposer du consentement libre, spécifique, éclairé et univoque des personnes concernées pour l’utilisation de leurs données à des fins de prospection commerciale par voie électronique, lorsque celles-ci n’ont pas été recueillies directement par l’organisme prospecteur.
130. En second lieu, s’agissant de la validité du consentement recueilli par la société TELEMAQUE, et dont la société COSMOSPACE se prévaut pour fonder ses opérations de prospection commerciale par voie électronique, la formation restreinte observe qu’il ressort des constatations réalisées lors du contrôle en ligne du 15 novembre 2021 que le formulaire mis en œuvre par la société TELEMAQUE à partir du site web horoscope.fr comportait une case à cocher autorisant sans distinction la prospection par la société TELEMAQUE, pour son propre compte, et celle susceptible d’être réalisée par ses partenaires, sans les identifier.
131. En effet, la formation restreinte relève d’abord que le texte accompagnant cette case (“ en cochant cette case, vous acceptez de recevoir de la part de Télémaque et de ses Partenaires, par email, téléphone et SMS, des offres liées à la voyance “) ne mentionnait pas la société COSMOSPACE et qu’il ne comportait pas davantage de lien URL permettant d’accéder à la liste des partenaires auxquels les données étaient susceptibles d’être transmises. La formation restreinte observe ensuite que, si un lien intitulé “ en savoir plus “ permettait d’obtenir des informations complémentaires en lien avec l’existence de partenaires, ces informations n’étaient toutefois pas facilement accessibles. En effet, ce lien “ en savoir plus “ était situé plus loin sur le formulaire d’inscription, à la fin d’une mention informant les personnes concernées de leur possibilité de se désinscrire pour ne plus recevoir d’emails ou de SMS. En utilisant le lien “ en savoir plus “, il était possible d’accéder à une page “ en savoir plus sur le traitement de vos données personnelles et vos droits “, qui mentionne que “ le traitement des données à caractère personnel collectées par horoscope.fr est géré par la société TELEMAQUE et par son partenaire la société COSMOSPACE “. Ce lien, situé à distance de la case à cocher et qui, par la couleur de sa police et son positionnement, se confondait avec l’adresse de courrier électronique du délégué à la protection des données qui le précédait, ne permettait pas aux
utilisateurs d’être informés clairement de l’identité du prospecteur auquel les données étaient susceptibles d’être transmises. En outre, si les informations figurant sur la page “ en savoir plus sur le traitement de vos données personnelles et vos droits “ mentionnaient bien l’existence de la société COSMOSPACE, en sa qualité de partenaire de la société TELEMAQUE, les termes utilisés ne faisaient nullement référence à la notion de prospection commerciale, si bien que les utilisateurs ne pouvaient, même à la lecture de ce texte, s’attendre à être démarchés par la société COSMOSPACE.