AgentPublic/cnil huggingface dataset:
74. La formation restreinte note que, dans les courriels de prospection envoyés pour le compte d’annonceurs, deux liens sont insérés. Le premier lien permet la désinscription à recevoir des con-tenus publicitaires d’un annonceur final spécifique, quelle que soit la base de données utilisée. Un second lien permet la désinscription à recevoir les contenus publicitaires des partenaires d’une marque de la société CALOGA, c’est-à-dire d’une de ses bases de données. Ainsi, si le pros-pect s’est inscrit dans une autre base de données de la société, nommée différemment sous une autre marque, il continuera à recevoir des offres envoyées de cette autre base même s’il a utilisé le second lien pour se désabonner des offres reçues. La formation restreinte note également que, pour que le retrait du consentement d’un prospect soit pris en compte pour l’ensemble des bases de données gérées par la société CALOGA (c’est-à-dire pour l’ensemble des marques selon la terminologie employée par la société), le prospect ne peut pas exprimer cette demande par le biais d’un lien figurant dans un seul courriel de prospection mais doit adresser une demande explicite au DPO de la société par courriel ou cliquer sur plusieurs liens de désinscriptions insérés dans des courriers électroniques distincts.
75. Un prospect peut donc être inscrit dans une ou deux bases de données en un seul clic. Cepen-dant, lorsqu’il souhaite retirer son consentement à recevoir des offres d’annonceurs adressées par la société CALOGA et issues des deux bases auxquelles il est inscrit, il devra faire une demande spécifique de désinscription pour toutes les bases de données de la société dans lesquelles il est inscrit, ce qui nécessite plusieurs démarches et clics sur différents liens de désinscription contenus dans les courriels distincts de prospection ou d’envoyer un courriel à une adresse dédiée.
76. La formation restreinte relève donc que, dans le système mis en œuvre par la société CALOGA, il n’est pas possible, pour le prospect, de se désinscrire en un seul clic, des bases de données de CALOGA auxquelles il s’est inscrit en un seul clic. Elle prend toutefois note que si le prospect n’est inscrit que dans une seule base de données de CALOGA, le prospect n’aura besoin que d’un seul clic pour retirer son consentement. La formation restreinte considère que, lorsqu’un prospect est inscrit dans deux bases de données de la société en un seul clic au moment de la col-lecte, il devrait pouvoir, en un seul clic depuis un lien URL présent dans le courriel de prospec-tion, retirer son consentement pour ces deux bases de données. L’action de cliquer sur ce lien aurait ainsi les mêmes conséquences que l’envoi d’un courriel à la société afin d’obtenir une dé-sinscription aux bases de données de la société CALOGA auxquelles il s’est inscrit.
77. S’agissant plus particulièrement des règles publiées sur le site web de la CNIL dans une fiche pratique relative à la transmission des données à des partenaires, la formation restreinte relève qu’elles indiquent effectivement qu’il est possible pour un primo-collectant qui transmet des don-nées à des partenaires de recueillir le consentement d’un prospect, au moment de la collecte de ses données, en un seul clic pour le compte de plusieurs partenaires - qui seront destinataires des données et responsables de traitement de leurs opérations de prospection - dès lors qu’ils sont identifiés. Toutefois, contrairement à l’analyse qu’en tire la société, cette publication ne fait pas référence aux modalités de retrait du consentement des intéressés et ne comportent donc pas d’élément sur ce point, contrairement aux dispositions de l’article 7 du RGPD, qui dispose qu’il doit être aussi simple de retirer son consentement que de le donner. Sur ce fondement, la forma-tion restreinte considère qu’en donnant son consentement en un clic pour figurer dans deux bases de données de CALOGA, le prospect doit donc pouvoir retirer son consentement de ces deux bases de données en un clic, ce d’autant que les bases de données relèvent du même responsable de traitement.
78. Outre cette problématique générale, la formation restreinte relève également que la société CALOGA a intitulé une de ses quatre bases de données (ou marques) CALOGA (le nom des autres bases / marques étant ZEPLAN, BASYLO et VOZEKO). La formation restreinte souligne que ce système mis en place par la société prête à confusion dès lors que le prospect peut légiti-mement penser, en cliquant sur le lien de désinscription intitulé ne plus recevoir aucune offre des annonceurs de CALOGA , que l’action vaut pour toutes les bases de données de la société. En effet, il est fortement trompeur, du point de vue du prospect, que la société CALOGA ait donné son nom à une des bases de données. Un prospect qui, au moment de la collecte de ses données, vérifie la liste des partenaires, verra s’afficher le nom caloga en tant que marque et non en tant que société. Il ne s’apercevra pas que la société CALOGA possède d’autres marques, et donc d’autres bases de données, qui figurent sous un autre nom dans la liste des partenaires.
79. Il ressort de ces éléments qu’il existe un réel préjudice pour les prospects croyant avoir retiré leur consentement. Malgré une action positive de leur part sollicitant le retrait de leur consentement, ils continueront à recevoir des courriels de prospection dans un contexte de sollicitations intenses lié à la nature même du marché de la prospection par voie électronique.
80. A cet égard, et au vu de l’ensemble de ce qui précède, la formation restreinte considère que la société ne saurait se prévaloir de ses choix d’organisation interne, en optant pour une répartition des données collectées en différentes bases de données correspondant à différentes marques, pour se soustraire à ses obligations, ses choix organisationnels ne devant pas faire obstacle au re-trait du consentement dans les mêmes conditions que celles dans lesquelles il a été obtenu.
81. Partant, en ne proposant pas aux personnes concernées la possibilité de retirer son consen-tement en un seul clic des bases de données auxquelles elles se sont inscrites en un clic, la so-ciété a commis un manquement à l’article L. 34-5 du CPCE tel qu’éclairé par l’article 7, pa-ragraphe 3 du RGPD.
E. Sur le manquement relatif à l’obligation de disposer d’une base légale pour transmettre les données de prospects à des fins de prospection commerciale par voie électronique en application de l’article 6 du RGPD
82. L’article 6, paragraphe 1, du RGPD dispose que le traitement n'est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie : a) la personne concernée a con-senti au traitement de ses données à caractère personnel pour une ou plusieurs finalités spéci-fiques; b) le traitement est nécessaire à l'exécution d'un contrat auquel la personne concernée est partie ou à l'exécution de mesures précontractuelles prises à la demande de celle-ci; c) le traite-ment est nécessaire au respect d'une obligation légale à laquelle le responsable du traitement est soumis; d) le traitement est nécessaire à la sauvegarde des intérêts vitaux de la personne concer-née ou d'une autre personne physique; e) le traitement est nécessaire à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement; f) le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le respon-sable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent une protection des données à caractère per-sonnel, notamment lorsque la personne concernée est un enfant .
83. En vertu de l’article 4, paragraphe 11 du RGPD, le consentement de la personne concernée s’entend de toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l'objet d'un traitement .
84. S’agissant de la qualité de recueil du consentement, la Cour de justice de l’Union européenne (CJUE) a précisé, dans sa décision Planet49 GmbH : l’article 7, sous a), de la directive 95 pré-voit que le consentement de la personne concernée peut rendre un tel traitement licite pour autant que ce consentement est indubitablement donné par la personne concernée. Or, seul un com-portement actif de la part de cette personne en vue de manifester son consentement est de nature à remplir cette exigence (CJUE, grande chambre, 1er octobre 2019, Planet49 GmbH, C-673/17, §54)
85. A défaut d’être donné indubitablement, le consentement doit être considéré comme faisant défaut, ce qui rend le traitement illégal pour défaut de base légale.
86. Sur les modalités de recueil du consentement, la CJUE affirme que la manifestation de volonté visée à l’article 2, sous h), de la directive 95/46 doit, notamment, être spécifique , en ce sens qu’elle doit porter précisément sur le traitement de données concerné et ne saurait être déduite d’une manifestation de volonté ayant un objet distinct. En l’occurrence, contrairement à ce qu’a fait valoir Planet49, le fait pour un utilisateur d’activer le bouton de participation au jeu promo-tionnel organisé par cette société ne saurait dès lors suffire pour considérer que l’utilisateur a va-lablement donné son consentement au placement de cookies (idem, §§ 58-59).
87. Par ailleurs, s’agissant de la qualité de l’information fournie lors du recueil du consentement, la CJUE a indiqué que une information claire et complète doit permettre à l’utilisateur de détermi-ner facilement les conséquences du consentement qu’il pourrait donner et garantir que ce consen-tement soit donné en pleine connaissance de cause. Elle doit être clairement compréhensible et suffisamment détaillée pour permettre à l’utilisateur de comprendre le fonctionnement des cookies qui sont utilisés (idem, §74).
88. Le Conseil d’Etat, quant à lui, a retenu que le consentement libre, spécifique, éclairé et univoque ne peut qu'être un consentement exprès de l'utilisateur, donné en toute connaissance de cause et après une information adéquate sur l'usage qui sera fait de ses données personnelles. […] Enfin, indépendamment des modalités dans lesquelles il est recueilli, le consentement n'est valide que s'il est précédé d'une présentation claire et distincte de l'ensemble des finalités poursuivies par le trai-tement (CE, 10ème et 9ème chambres réunies, 19 juin 2020, Google LLC, n° 430810, pt. 21).
89. Enfin, dans son référentiel relatif aux traitements de données à caractère personnel mis en œuvre aux fins de gestion des activités commerciales, la CNIL estime que si la transmission a pour finalité de permettre aux partenaires commerciaux de réaliser de la prospection nécessitant le re-cueil du consentement préalable des personnes concernées (prospection électronique) : 
o eu égard au fait que la prospection commerciale par voie électronique présente des risques spécifiques (notamment par le volume de sollicitations susceptibles d’être reçues du fait de son automatisation), l’organisme transmettant les données doit informer les per-sonnes concernées, sur le support de collecte des données (formulaire en ligne ou formu-laire papier), et recueillir leur consentement à cette transmission ;
o l’organisme transmettant les données doit, au préalable, avoir permis aux personnes concernées d’apprécier les conséquences de leur choix quant à la transmission en les in-formant de l’étendue de celle-ci. La mise en évidence, auprès des personnes concernées, du nombre et du secteur d’activité des partenaires qui seraient rendus destinataires des données, est un exemple de mesure contribuant à respecter les attentes raisonnables des personnes concernées en la matière ;
o avant de réaliser de la prospection par voie électronique, les partenaires rendus destina-taires des données doivent prouver qu’ils disposent, eux aussi, du consentement des per-sonnes qui seront démarchées. […] . 
La CNIL a en effet estimé qu’il devait y avoir un parallélisme entre la transmission de données à des tiers pour constituer des bases de données à des fins de prospection commerciale par voie électronique et le régime de cette transmission, impliquant que cette transmission se fasse sur un régime de consentement (opt in) alors que, lorsque la prospection est fondée sur un régime d’intérêt légitime avec opposition (opt out), la transmission des données à des tiers ne nécessite pas de consentement (mais la personne doit en être informée, avec les catégories de destinataires) et pouvoir s’y opposer (CNIL, P, 1er décembre 2021, Mise en demeure, Société X, n° MED-2021-131, non publié).
90. La rapporteure affirme que, contrairement à l’analyse de la société, les partenaires auxquels elle transmet des données de prospects à des fins de prospection commerciale par voie électronique n’interviennent pas en qualité de sous-traitants pour le compte de la société CALOGA et que la société aurait donc dû disposer du consentement des prospects pour transmettre leurs données à des partenaires commerciaux à des fins de prospection électronique. Or, le consentement recueilli au moment de la collecte des données de prospects n’étant pas valable, la société ne pouvait pas transmettre ces données à ses partenaires. 
91. La société conteste la qualité de responsable de traitement de ses partenaires destinataires et les considère, sur le fondement d’une analyse factuelle, comme des sous-traitants. A ce titre, elle considère qu’elle n’a pas à recueillir un consentement spécifique pour la transmission des don-nées.
92. Elle affirme qu’en l’absence de recommandations de la CNIL, il ne peut pas lui être reproché de ne pas avoir anticipé les exigences de la CNIL relatives à la qualité des partenaires destinataires des données et donc à l’obligation de recueillir un consentement spécifique pour la transmission des données de prospects à ses partenaires.
93. La formation restreinte relève qu’en l’espèce, dans le cadre de son activité de courtier en données, la société constitue ses bases de données de prospects auprès de partenaires primo-collectants (les sociétés […], notamment) et les transmet ensuite à d’autres partenaires qui met-tent en œuvre des activités de prospection par voie électronique au bénéfice d’annonceurs finaux. Les principaux partenaires à qui ces données sont transmises sont les sociétés […] (1,9 millions de données de prospects transmises lors de la dernière transmission de février 2023) et […] (2,2 mil-lions de données de prospects transmises lors de la dernière transmission de mai 2023).
94. Comme elle l’a détaillé dans ses développements précédents (points 17 et 18), la formation restreinte relève que la société CALOGA transmet des données à ses partenaires afin que soient réalisées des opérations de prospection commerciale par voie électronique pour le compte de leurs clients annonceurs à partir des bases dont ses partenaires ont ciblé, avec leurs propres outils, les segments qu’ils souhaitent solliciter. L’administration de ces bases de données et les opérations constituent de nouveaux traitements de données à caractère personnel, mis en œuvre par d’autres responsables de traitement que la société CALOGA. Dans ce contexte, la formation restreinte considère que la société CALOGA doit être regardée comme responsable du traitement de transmission de données de prospects à des partenaires afin que soient réalisées des opérations de prospection commerciale par voie électronique par ces derniers pour le compte de tiers. Or, pour être licite, comme le souligne le référentiel relatif aux traitements de données à caractère person-nel mis en œuvre aux fins de gestion des activités commerciales de la CNIL, lorsque la transmis-sion des données a pour finalité de permettre aux partenaires commerciaux de réaliser de la pros-pection nécessitant le recueil du consentement préalable des personnes concernées (prospection électronique), l’organisme qui transmet les données doit recueillir le consentement des personnes concernées à cette transmission de leurs données. En
effet, dès lors que les données sont trans-mises pour servir uniquement à des opérations pour lesquelles la loi est venue, en raison de leur intrusivité particulière, exiger un consentement, la CNIL estime que la base légale de l’intérêt légitime ne peut être retenue. Ainsi, dans l’écosystème spécifique des courtiers en données où la transmission des données de prospects a pour finalité des opérations de prospection par voie élec-tronique, prospection reposant sur la base légale du consentement, tous les traitements de trans-mission des données à caractère personnel pour cette finalité doivent également reposer sur la base légale du consentement.
95. Or, la société CALOGA ne dispose pas d’un consentement valable pour transmettre les données de prospects à ses partenaires à des fins de prospection commerciale par voie électronique pour le compte de leurs clients annonceurs, la société considérant qu’elle n’a pas à recueillir un consen-tement spécifique pour cette transmission, celle-ci relevant de son intérêt légitime. 
96. En ne disposant pas du consentement des personnes concernées pour cette transmission de leurs données, et ainsi d’une base légale valable pour mettre en œuvre ce traitement, la socié-té a commis un manquement à l’article 6 du RGPD.
F. Sur le manquement relatif à l’obligation de conserver les données pour une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées en application de l’article 5-1-e du RGPD
97. Aux termes de l’article 5, paragraphe 1, e) du RGPD, les données à caractère personnel doivent être conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées (…) .
98. En application de ces dispositions, il incombe au responsable de traitement de définir une durée de conservation conforme à la finalité du traitement. Lorsque cette finalité est atteinte, les données doivent être supprimées ou anonymisées, ou faire l’objet d’un archivage intermédiaire pour une durée déterminée lorsque leur conservation est nécessaire, par exemple pour le respect d’obligations légales ou à des fins précontentieuses ou contentieuses notamment.
99. A cet égard, la formation restreinte a rappelé à plusieurs reprises que la durée de conservation des données à caractère personnel doit être déterminée en fonction de la finalité poursuivie par le traitement. Lorsqu’elles ne sont plus nécessaires au besoin de la finalité pour laquelle elles ont été collectées, les données doivent soit être supprimées, soit faire l’objet d’un archivage intermédiaire lorsque leur conservation est nécessaire, par exemple pour le respect d’obligations légales ou à des fins précontentieuses ou contentieuses. Cet archivage intermédiaire nécessite tout d’abord de réaliser un tri des données pertinentes à archiver, au regard des finalités justifiant la conservation de ces données (obligations légale ou comptable, finalité contentieuse, etc.), puis d’opérer une séparation avec la base active, qui peut être physique – via un transfert des données au sein d’une base d’archives dédiée – ou logique – via la mise en place de mesures techniques et organisationnelles garantissant que seules les personnes ayant un intérêt à traiter les données en raison de leurs fonctions puissent y accéder (CNIL, FR, 8 septembre 2022, Sanction, n° SAN-2022-018, publié ; CNIL, FR, 29 décembre 2023, Sanction, n° SAN-2023-023, publié).
100. S’agissant du point de départi du délai, la formation restreinte a également considéré qu’un responsable de traitement ne [pouvait], sans méconnaître le principe de limitation de la durée de conservation des données, considérer que la simple ouverture d’un courriel de prospection par une personne permet de refaire courir le point de départ du délai de conservation des données des prospects et ainsi conserver de telles données alors même que les prospects n’ont pas démontré, par un acte clair, un intérêt pour les produits ou services de la société pendant plusieurs années (CNIL, FR, 28 juillet 2020, délibération de sanction n°SAN-2020-003 ; CNIL, FR, délibération SAN-2020-016 du 7 décembre 2020). Cette position reflète la doctrine de la CNIL qui dès 2016, dans l’article 5 de la Délibération n° 2016-264 du 21 juillet 2016 portant modification d'une norme simplifiée concernant les traitements automatisés de données à caractère personnel relatifs à la gestion de clients et de prospects (NS-048), précisait que les données à caractère personnel relatives à un prospect non client peuvent être conservées pendant un délai de trois ans à compter de leur collecte par le responsable de traitement ou du dernier contact émanant du prospect (par exemple, une demande de documentation ou un clic sur un lien hypertexte contenu dans un cour-riel ; en revanche, l'ouverture d'un courriel ne peut être considérée comme un contact émanant du prospect) .
101. Ces éléments sont aujourd’hui rappelés dans le référentiel relatif aux traitement de données à caractère personnel mis en œuvre aux fins de gestion des activités commerciales : Les données à caractère personnel relatives à un prospect non client peuvent être conservées pendant un délai de trois ans à compter de leur collecte par le responsable de traitement ou du dernier contact éma-nant du prospect (par exemple, une demande de documentation ou un clic sur un lien hypertexte contenu dans un courriel renvoyant vers le produit promu ; en revanche, la simple ouverture d'un courriel ne devrait pas être considérée comme un contact émanant du prospect). Au terme de ce délai de trois ans, le responsable de traitement pourra reprendre contact avec la personne con-cernée afin de savoir si elle souhaite continuer à recevoir des sollicitations commerciales. En l'ab-sence de réponse positive et explicite de la personne, il conviendra de supprimer les données ou de les archiver pour une durée conforme aux dispositions en vigueur (page 11).
102. La rapporteure considère d’abord qu’en conservant les données de prospects pendant une durée de quatre ans, sans procéder à un tri ou à un archivage intermédiaire des données, alors que ces prospects sont considérés comme inactifs par la société passé un délai d’un an sans interaction, la société a conservé les données pour une durée excessive. Elle considère ensuite que le fait de prendre en compte l’ouverture d’un courriel comme point de départ du délai n’est pas conforme aux exigences du RGPD dès lors que cette interaction, parfois involontaire, pourrait permettre à la société de conserver les données de prospects sans limitation de durée en l’absence de tout acte volontaire des personnes concernées pour exprimer un souhait en ce sens.
103. La société indique qu’elle a compartimenté ses bases de données afin de poursuivre trois finali-tés : exploiter les données de prospects actifs, identifier les prospects ayant retiré leur consente-ment et conserver les données de prospects inactifs à des fins probatoires. Elle ajoute qu’elle met en œuvre différentes durées de conservation en fonction de la finalité poursuivie : 12 mois à compter de la dernière action du prospect (ouverture d’un courriel de prospection) à des fins d’exploitation pour la prospection commerciale. Au-delà des 12 mois, le prospect est considéré comme inactif. Les données des prospects inactifs sont conservées 4 ans à des fins probatoires liées au consentement.