AgentPublic/cnil huggingface dataset:
25. À la suite de la réception du premier rapport de la rapporteure, la société a indiqué avoir mis en place un nouveau type de formulaire, qu’elle considère conforme aux exigences du RGPD. Selon la société, le texte explicatif est parfaitement lisible et contient toutes les informations nécessaires pour l’utilisateur qui ne présente aucune vulnérabilité particulière. Elle ajoute que la position des boutons, en affichant d’abord le bouton "J’ACCEPTE " avec un texte explicatif en caractère moins grands, telle qu’elle figure sur le nouveau formulaire, serait considérée comme "neutre ", selon les études sur les cookies produites par la CNIL, et serait donc licite. La société précise qu’il est possible de poursuivre son parcours utilisateur sans accepter de recevoir des offres de partenaires.
26. À cet égard, la société relève que la CNIL n’a publié aucune recommandation spécifique sur le secteur du marketing digital. Elle précise qu’elle a mis en place de nombreuses mesures pour assurer le respect des droits des personnes et communique des statistiques révélant un nombre très élevé de personnes "opt-in " et un nombre peu élevé de personnes "non-opt-in ", c’est-à-dire ayant demandé à se désinscrire / ayant demandé la suppression de leurs données / ou ayant rempli un autre formulaire de jeu tout en refusant la transmission de leurs données.
27. Enfin, la société affirme qu’elle n’a jamais eu la volonté de tromper ou d’induire en erreur les prospects inscrits dans sa base de données, le succès de son activité reposant sur la qualité de ses pratiques de collecte et des personnes inscrites sur sa base de données.
28. La formation restreinte relève d’abord que, aussi bien la politique de protection des données, accessible via les sites web, que le registre des activités de traitement de la société, prévoient que la base légale de la transmission des données de prospects à des fins de prospection par voie électronique, téléphonique ou postale est le consentement, ce que confirme la société.
29. La formation restreinte rappelle que le consentement spécifique requis par les dispositions de l’article 6 du RGPD ne peut résulter que d’un consentement exprès de l’utilisateur, donné en toute connaissance de cause après une information adéquate sur l’usage qui sera fait de ses données à caractère personnel. Il convient à cet égard de s’assurer que les personnes concernées ont donné un consentement univoque, spécifique, libre et éclairé lors de la collecte de leurs données à caractère personnel par le biais des formulaires de participation à des jeux-concours.
30. La formation restreinte relève à cet égard que les travaux conduits sur les pratiques mises en œuvre en matière de cookies s’agissant des bannières de recueil du consentement peuvent utilement servir à apprécier de manière plus générale les conditions de recueil d’un consentement libre, univoque, spécifique et éclairé, et servir de référence en matière de prospection commerciale lorsqu’elle est fondée sur le recueil du consentement.
31. Par ailleurs, sur les mêmes conditions du consentement, la Cour de justice de l’Union européenne (CJUE) a précisé, dans sa décision Planet49 GmbH : "l’article 7, sous a), de la directive 95 prévoit que le consentement de la personne concernée peut rendre un tel traitement licite pour autant que ce consentement est "indubitablement " donné par la personne concernée. Or, seul un comportement actif de la part de cette personne en vue de manifester son consentement est de nature à remplir cette exigence " (CJUE, grande chambre, 1er octobre 2019, Planet49 GmbH, C-673/17, ECLI:EU:C:2019:801, §54). Dès lors, il convient de considérer qu’à défaut d’être donné indubitablement, le consentement doit être considéré comme faisant défaut, ce qui rend le traitement illégal pour défaut de base légale. Plus précisément sur les modalités de recueil, la CJUE affirme que "la manifestation de volonté visée à l’article 2, sous h), de la directive 95/46 doit, notamment, être "spécifique ", en ce sens qu’elle doit porter précisément sur le traitement de données concerné et ne saurait être déduite d’une manifestation de volonté ayant un objet distinct. En l’occurrence, contrairement à ce qu’a fait valoir Planet49, le fait pour un utilisateur d’activer le bouton de participation au jeu promotionnel organisé par cette société ne saurait dès lors suffire pour considérer que l’utilisateur a valablement donné son consentement au placement de cookies " (Idem, §§ 58-59).
32. En outre, le Conseil d’Etat a retenu que "le consentement libre, spécifique, éclairé et univoque ne peut qu'être un consentement exprès de l'utilisateur, donné en toute connaissance de cause et après une information adéquate sur l'usage qui sera fait de ses données personnelles. " (CE, 10ème et 9ème chambres réunies, 19 juin 2020, Google LLC, n° 430810, pt. 21).
33. La formation restreinte relève également, à titre d’exemple, que les lignes directrices 5/2020 sur le consentement, adoptées le 4 mai 2020 par le groupe de travail "article 29 " (devenu le Comité européen de la protection des données, ci-après "CEPD "), précisent que le caractère libre du consentement "implique un choix et un contrôle réel pour les personnes concernées. En règle générale, le RGPD dispose que si la personne concernée n’est pas véritablement en mesure d’exercer un choix, se sent contrainte de consentir ou subira des conséquences négatives importantes si elle ne donne pas son consentement, le consentement n’est pas valable […] En termes généraux, toute pression ou influence inappropriée exercée sur la personne concernée (pouvant se manifester de différentes façons) l’empêchant d’exercer sa volonté rendra le consentement non valable ".
34. À titre d’illustration et de comparaison, dans sa délibération n° 2020-092 du 17 septembre 2020 portant adoption d’une recommandation proposant des modalités pratiques de mise en conformité en cas de recours aux "cookies et autres traceurs ", la Commission recommande ainsi aux organismes concernés de s’assurer "que les utilisateurs prennent la pleine mesure des options qui s’offrent à eux, notamment au travers du design choisi et de l’information délivrée (§ 10) […] Afin de ne pas induire en erreur les utilisateurs, la Commission recommande que les responsables de traitement s’assurent que les interfaces de recueil des choix n’intègrent pas de pratiques de design potentiellement trompeuses laissant penser aux utilisateurs que leur consentement est obligatoire ou qui mettent visuellement plus en valeur un choix plutôt qu’un autre. Il est recommandé d’utiliser des boutons et une police d’écriture de même taille, offrant la même facilité de lecture, et mis en évidence de manière identique " (§ 34). Elle ajoute qu’il convient "d’être attentif à ce que l’information accompagnant chaque élément actionnable permettant d’exprimer un consentement ou un refus soit facilement compréhensible et ne nécessite pas d’efforts de concentration ou d’interprétation de la part de l’utilisateur. Ainsi, il est notamment recommandé de s’assurer qu’elle n’est pas rédigée de telle manière qu’une lecture rapide ou peu attentive pourrait laisser croire que l’option sélectionnée produit l’inverse de
ce que les utilisateurs pensaient choisir. " (§ 23). A défaut, le caractère univoque du consentement ne serait pas caractérisé.
35. La formation restreinte rappelle également que des études menées sur les pratiques des interfaces numériques, en particulier concernant les cookies, relèvent l’impact considérable de l’apparence des bannières de recueil du consentement sur le choix des utilisateurs, pouvant inciter ces derniers à faire des choix ne reflétant pas leurs préférences sur le partage de données.
36. En l’espèce, il ressort des pièces du dossier que la société […] transmet à des partenaires les données collectées, à savoir le nom, le prénom, la civilité, la date de naissance, l’adresse postale, de courrier électronique, le numéro de téléphone des prospects, collectés via ses sites de jeux-concours, de tests de produits et de sondages. Ces partenaires procèdent ensuite à des opérations de prospection commerciale, notamment par voie électronique, auprès de ces prospects.
37. La formation restreinte relève que, au moment des contrôles, l’accès à deux formulaires de collecte a été constaté sur les sites utilisés pour collecter les données de prospects : un formulaire à bouton unique et un formulaire à deux boutons.
38. S’agissant du formulaire à bouton unique, la formation restreinte note que sous les champs permettant aux personnes concernées d’insérer leurs coordonnées est situé un bouton unique "JE VALIDE " sur fond vert avec une flèche. Au-dessus de ce bouton, un texte inscrit en caractères d’une taille nettement inférieure à celle utilisée pour les boutons précise qu’en cliquant sur ledit bouton, l’utilisateur accepte que les données collectées soient utilisées pour lui envoyer les offres des partenaires de la société. Des liens hypertextes permettent d’accéder à la politique de protection des données et à la liste des partenaires concernés. La fin du texte précise que si l’utilisateur souhaite continuer sans recevoir les offres des partenaires de la société, il peut cliquer sur un lien présent dans le texte ("je clique ici "). En outre, une case à cocher est prévue pour accepter le règlement de l’opération.
39. Ainsi, l’utilisateur confronté à ce formulaire peut, soit cocher la case d’acceptation du règlement de l’opération et cliquer sur le bouton vert "JE VALIDE " pour participer au jeu-concours tout en acceptant que ses données soient utilisées pour lui envoyer les offres des partenaires de la société, soit cocher la case d’acceptation du règlement et cliquer sur le lien "je clique ici " permettant de continuer sans recevoir ces offres.
40. La formation restreinte considère que tel qu’il est conçu, le formulaire proposé ne permet pas aux personnes concernées d’exprimer de manière valable un choix reflétant leurs préférences en matière de transmission de données à des fins de prospection commerciale. L’aperçu global de l’interface met particulièrement en valeur le bouton "JE VALIDE " qui, par sa taille et sa couleur se distingue des autres informations délivrées. De même, son intitulé évoque davantage la conclusion du parcours utilisateur qu’une transmission de données à des partenaires. Enfin, son emplacement et l’usage du verbe valider donnent l’impression de devoir obligatoirement être cliqué pour terminer l’inscription et participer au jeu-concours. A contrario, le lien hypertexte permettant de participer au jeu sans accepter la transmission de ses données est présenté dans le corps du texte, en caractères d’une taille nettement inférieure à celle utilisée pour les boutons et sans mise en valeur particulière, de sorte qu’il n’apparait pas intuitif qu’il est possible de participer sans cliquer sur le bouton "JE VALIDE " et donc sans transmettre ses données à des tiers à des fins de prospection. Le consentement recueilli est donc privé de son caractère univoque et libre.
41. Tout en relevant que ce formulaire était encore accessible en mai 2022, soit au moment des contrôles de la délégation de la CNIL, la formation restreinte prend bonne note que la société n’y recourt plus de façon opérationnelle.
42. S’agissant du formulaire à double bouton mis en place depuis 2017 jusqu’à la notification du rapport de sanction en 2023, la formation restreinte note que, sous les champs permettant aux personnes concernées d’insérer leurs coordonnées, sont situés deux boutons : un bouton "JE VALIDE ", écrit en blanc sur fond rouge, et un bouton "JE REFUSE ", écrit en noir sur fond gris et dont la taille de police est inférieure à celle du bouton "JE VALIDE ". Au-dessus de ces boutons, un texte inscrit en caractères d’une taille nettement inférieure à celle utilisée pour les boutons précise qu’en cliquant sur le bouton "JE VALIDE ", l’utilisateur accepte que les données collectées soient utilisées pour lui envoyer les offres des partenaires de la société. En outre, une case à cocher est prévue pour accepter le règlement de l’opération.
43. La formation restreinte constate que sur ce formulaire, il n’est fait aucune mention des conséquences d’un clic sur le bouton "JE REFUSE ".
44. Ainsi, l’utilisateur confronté à cette interface peut, soit cocher la case d’acceptation du règlement de l’opération et cliquer sur le bouton "JE VALIDE " pour participer au jeu-concours tout en acceptant que ses données soient utilisées pour lui envoyer les offres des partenaires de la société, soit cocher la case d’acceptation du règlement et cliquer sur le bouton "JE REFUSE " pour continuer sans recevoir ces offres.
45. À l’instar du formulaire évoqué aux paragraphes 38 à 40 et pour les mêmes motifs, la formation restreinte considère que tel qu’il est conçu, le formulaire décrit ne permet pas de recueillir un consentement univoque et libre de l’utilisateur.
46. Elle relève en outre qu’en l’absence de toute précision sur les conséquences liées au fait de cliquer sur le bouton "JE REFUSE ", le recueil du consentement n’est pas éclairé. Ce dernier pourrait tout aussi bien signifier que le refus de transmettre ses données ne permet pas de participer au jeu-concours, ce qui n’est pas le cas en l’espèce.
47. S’agissant du nouveau formulaire proposé par la société à la suite du rapport de la rapporteure, la formation restreinte note que sous les champs permettant aux personnes concernées d’insérer leurs coordonnées sont situés deux boutons : un bouton "J’ACCEPTE ", écrit en blanc sur fond rouge, et un bouton "ÉTAPE SUIVANTE ", dont l’apparence est identique au premier. Au-dessus de ces boutons, un texte inscrit en caractères d’une taille nettement inférieure à celle utilisée pour les boutons précise qu’en cliquant sur le bouton "J’ACCEPTE ", l’utilisateur accepte que les données collectées soient utilisées pour lui envoyer les offres des partenaires de la société. En cliquant sur "ÉTAPE SUIVANTE ", il continue sans recevoir les offres des partenaires.
48. La formation restreinte considère que, bien qu’ils soient de taille, police et couleur identiques, les termes choisis incitent fortement les utilisateurs à cliquer en tout premier lieu sur "J’ACCEPTE " placé avant le bouton "ÉTAPE SUIVANTE ". En effet, les utilisateurs sont poussés à cliquer sur le premier bouton "J’ACCEPTE " puis le second bouton "ÉTAPE SUIVANTE " laissant penser qu’il existe un séquençage entre ces deux boutons, le premier constituant un préalable au second, alors que le parcours des utilisateurs se poursuit en cliquant sur "J’ACCEPTE ", sans qu’il soit nécessaire de cliquer sur "ÉTAPE SUIVANTE ". La formation restreinte note que si les explications sont fournies sur les conséquences de chacune des deux options, la mise en valeur particulière des deux boutons dans le visuel global du formulaire, par rapport à l’apparence dudit texte en termes de police et de couleur, ne permet pas de compenser le risque que la personne passe directement du remplissage des champs au bouton "J’ACCEPTE " sans en mesurer les conséquences.
49. La formation restreinte considère ainsi que les formulaires n’éclairent pas suffisamment les personnes concernées sur le fait qu’elles consentent à la transmission de leurs données à des fins de prospection commerciale, dans un contexte où l’objet même de ces sites web est d’offrir une perspective de gains ne pouvant laisser supposer l’objectif de collecte pérenne de ces données à de telles fins. Ces personnes ne sont pas mises en mesure de manifester leur consentement par un acte positif clair et dénué d’ambigüité.
50. La formation restreinte considère, dans ces conditions, que la société […] ne dispose pas, pour transmettre les données de prospects à ses partenaires aux fins de réaliser des opérations de prospection commerciale, d’un consentement valide au sens des articles 6 et 4 du RGPD.
51. En outre et pour les mêmes motifs, la formation restreinte considère que le consentement recueilli par le biais du dernier formulaire proposé par la société au cours de l’instruction ne répond pas aux exigences du RGPD et que le manquement à l’article 6 du RGPD persiste.
2) S’agissant de la transmission de données de prospects aux partenaires
52. La rapporteure note que la société […] transmet des données de prospects à des partenaires à des fins de démarchage par voie postale ou électronique. La rapporteure note que la politique de protection des données à caractère personnel, accessible via le site web de la société, précise que la base légale de la transmission des données aux partenaires de […] aux fins de prospection "par courrier postal ou par télémarketing " est le consentement.
53. La rapporteure observe que le fait de ne pas consentir à la transmission de ses données permet bien à l’utilisateur d’empêcher la transmission de son adresse électronique. Toutefois, la rapporteure relève que, malgré l’absence de consentement, l’adresse postale ou le numéro de téléphone est transmis aux partenaires à des fins de prospection par voie postale ou par téléphone.
54. La rapporteure considère donc que la société a procédé à un traitement déloyal des données de prospects n’ayant pas consenti à leur transmission aux partenaires, ce qui constitue un traitement déloyal, contraire à l’article 5, paragraphe 1, a) du RGPD.
55. En défense, la société affirme qu’elle transmet des données à ses partenaires d’une part, à des fins de prospection commerciale et d’autre part, pour la réalisation d’opérations techniques et de qualification, cette dernière finalité relavant de l’intérêt légitime. La transmission des exports de base de données se fait via un "dessin d’enregistrement " propre à chaque partenaire. Ces dessins d’enregistrement peuvent comporter, ou non, une colonne relative au statut de "l’opt-in prospect ". Si la colonne est présente, l’ensemble des données est transmis, la colonne devant encadrer l’utilisation des données de prospects (s’il est indiqué "opt-in = 0 ", le partenaire ne doit pas prospecter sur les données transmises mais se contentera de réaliser les opérations techniques et de qualification). S’il n’y a pas de colonne, l’adresse courriel et le numéro de téléphone du prospect ne sont pas transmis et le partenaire ne recevra que les coordonnées postales pour les opérations techniques et de qualification.
56. La société soutient que l’exploitation des données postales alors que les prospects ont refusé la transmission de leurs données n’est pas le résultat d’un fait généralisé et qu’elle a découvert l’existence de cette pratique au moment du contrôle. Elle ajoute que si certains partenaires ont procédé de la sorte, cette situation ne concerne pas tous les partenaires, ne présente pas un caractère intentionnel de la part de […] et ne lui apporte d’ailleurs aucun avantage économique.
57. Enfin, la société précise qu’elle ne transmet plus à ses partenaires, depuis le 1er février 2023, les données de prospects n’ayant pas donné leur consentement ( "non-opt-in " ) .
58. La formation restreinte relève que la politique de protection des données à caractère personnel de la société indique que : "En cas d’acceptation expresse de votre part, vos données pourront également être utilisées par […] et/ou ses partenaires pour : • Vous envoyer des offres commerciales et promotionnelles par courrier électronique, y compris à caractère politique ou syndical, par courrier électronique, par SMS/MMS, par courrier postal ou par télémarketing • Vous transmettre des newsletters • Procéder à l'évaluation statistique de la fréquentation du site • Réaliser de la segmentation et des recoupement statistiques. Le fondement légal du traitement est le consentement ".
59. La formation restreinte considère que les finalités visées par la société comme relevant de la réalisation d’opérations techniques et de qualification, à savoir la normalisation postale, le dédoublonnage, l’enrichissement téléphonique, etc., participent à la réalisation des opérations de prospection commerciale de ses partenaires. Ces traitements sont réalisés sur la base de données transmises par la société […], dans le cadre de contrats dont l’objet est, notamment avec la société […], "l’intégration technique de la base de données […] chez […] et de sa commercialisation en location par […] " (article 1 du contrat).
60. La formation restreinte note que les données des personnes n’ayant pas consenti à leur transmission aux partenaires sont entièrement ou partiellement transmises aux sociétés partenaires à des fins d’opérations techniques et de qualification et sont utilisées, dans certains cas, à des fins de prospection.
61. La formation restreinte considère que dès lors qu’un prospect ne consent pas à la transmission de ses données aux partenaires de la société, celle-ci n’est pas autorisée à les transmettre, y compris à des fins de réalisation d’opérations techniques et de qualification.
62. Au demeurant, la formation restreinte note que la politique de confidentialité de la société ne précise pas que les données des utilisateurs ayant refusé la transmission de leurs données aux partenaires à des fins de prospection commerciale sont tout de même transmises à ces partenaires pour d’autres finalités et sur le fondement d’une autre base légale.
63. La formation restreinte relève que la société n’a eu connaissance de l’exploitation des données postales par ses partenaires à des fins de prospection commerciale, alors que les prospects avaient refusé la transmission de leurs données, qu’au moment du contrôle en 2022.
64. Elle estime que pour transmettre ces données à ses partenaires, et dans la mesure où elle a choisi la base légale du consentement pour les traitements relatifs à la prospection par voie postale ou par téléphone, la société aurait dû recueillir le consentement des personnes concernées, ce qui n’est pas le cas en l’espèce.
65. La formation restreinte conclut, ainsi, qu’un manquement à l’article 6 du RGPD est constitué. Elle note toutefois que la société ne procède plus, depuis le 1er février 2023, à la transmission de données de prospects "non-opt-in " à ses partenaires.
B. Sur le manquement à l’obligation de mettre en œuvre un registre des activités de traitement
66. L’article 30 du Règlement dispose que le responsable de traitement, quel que soit le nombre de ses employés, a l’obligation de tenir un registre des activités de traitement, dès lors que le traitement des données à caractère personnel n’est pas occasionnel. Dans ce cas, le registre des activités de traitement doit comporter toutes les informations listées au 1. de l’article 30 du RGPD, à savoir : le nom et les coordonnées du responsable de traitement, de son représentant et du délégué à la protection des données, les finalités du traitement, les catégories de personnes concernées et les catégories de données à caractère personnel, les éventuels transferts de données et, dans la mesure du possible, les délais prévus pour l’effacement des données et la description des mesures techniques et organisationnelles mises en œuvre pour garantir un niveau de sécurité des données adapté au risque.
67. La rapporteure a constaté que la société partage un registre des activités de traitement avec la société […]. Or ce registre ne précise pas laquelle des sociétés agit en qualité de responsable de traitement.
68. En défense, la société relève tout d’abord qu’elle a bien mis en place un registre des activités de traitement et qu’il s’agit d’un modèle de registre simplifié proposé par la CNIL. Elle ajoute que ce registre comprend bien toutes les mentions prévues à l’article 30 du RGPD.