AgentPublic/cnil huggingface dataset:
30. S’agissant de l’enregistrement intégral et systématique des appels téléphoniques à des fins de de preuve de la souscription du contrat, la formation restreinte relève qu’en l’espèce, les prospects communiquent leurs numéros de téléphone à la société via l’un des sites web qu’elle édite afin d’obtenir des renseignements sur les prestations de voyance proposées. À la suite de cette demande d’information, les téléconseillers de la société appellent les prospects afin de leur fournir ces informations et le cas échéant, fixer un rendez-vous avec un voyant.
31. La formation restreinte considère qu’un responsable du traitement qui souhaite enregistrer des conversations téléphoniques à des fins probatoires doit démontrer qu’il ne dispose pas d’autres moyens moins intrusifs pour prouver que le contrat conclu à distance a bien a été conclu avec la personne concernée.
32. La formation restreinte considère qu’en l’espèce, l’existence du contrat conclu à distance peut être prouvée par un autre moyen moins intrusif. 
33. En effet, l’article L.221-16 du code de la consommation prévoit que, lorsque le professionnel contacte un consommateur par téléphone en vue de conclure un contrat portant sur la vente d’un bien ou sur la fourniture d’un service, ce dernier n’est engagé par cette offre qu’après l’avoir signée et acceptée sur un support durable.
34. La formation restreinte considère donc que, dès lors que la preuve de la souscription d’un contrat conclu à distance, à la suite d’un démarchage téléphonique, peut être apportée par la confirmation écrite de l'offre, l’enregistrement des conversations téléphoniques, passées entre les téléopérateurs et les prospects, à des fins de preuve de la formation du contrat, n’apparaît pas nécessaire.
35. Par ailleurs, la formation restreinte note qu’aucun contrat n’est conclu lors des appels téléphoniques passés entre les voyants et les clients, de sorte que l’enregistrement de ces conversations n’est pas justifié à des fins de preuve de la souscription d’un contrat. 
36. S’agissant de l’enregistrement intégral et systématique des appels téléphoniques dans la perspective de réquisitions judiciaires, la formation restreinte relève que s’il est nécessaire que les responsables du traitement fassent droit aux réquisitions judiciaires qu’ils reçoivent concernant les données qu’ils traitent pour leurs propres besoins, ils n’ont en revanche pas à organiser, à l’avance, la collecte de données à caractère personnel dans la perspective de répondre à une potentielle réquisition judiciaire.
37. Dès lors, la formation restreinte considère que l’enregistrement des appels téléphoniques passés, d’une part, entre les téléopérateurs et les prospects, et d’autre part, entre les voyants et les clients, afin de répondre à des réquisitions judiciaires, n’est pas justifié.
38. La formation restreinte considère donc, au vu de ces éléments, qu’un manquement à l’article 5, paragraphe 1, c) du RGPD est constitué. Elle relève que la société a cessé de proposer à ses clients des consultations par téléphone, ce qui implique l’arrêt des enregistrements téléphoniques à tout le moins entre les voyants et les clients, mais cela ne saurait exonérer la société de sa responsabilité pour le passé. 
39. En second lieu, la rapporteure relève que lors des appels téléphoniques entre les téléopérateurs et les clients, ces derniers sont invités à communiquer leurs coordonnées bancaires. Elle considère que l’enregistrement sonore de la partie de la conversation relative à la collecte des données bancaires des clients ne saurait être justifié à des fins de suivi de la démarche qualité ou à des fins probatoires. 
40. En défense, la société justifie, pour le passé, la collecte des données bancaires de ses clients par la réservation de rendez-vous avec un voyant, la simplification du règlement des consultations ultérieures, le paiement d’abonnements et la lutte contre la fraude. 
41. Elle indique également que la mise en place d’une mesure permettant d’interrompre un enregistrement lors de la communication des données bancaires suppose le développement d’outils complexes faisant peser sur elle un coût financier et humain particulièrement lourd.
42. La formation restreinte relève qu’au jour des contrôles, la société enregistrait les appels passés entre les téléopérateurs et les prospects à des fins de suivi de la démarche qualité ou à des fins probatoires (souscription du contrat et réquisitions judiciaires). Lors de ces appels téléphoniques, les téléopérateurs collectaient les données bancaires des prospects (numéro de carte bancaire, date d’expiration et cryptogramme) et leur indiquaient que cette collecte leur permettait de " participer à la sécurisation de la ligne pour un euro symbolique seulement ".
 
43. La formation restreinte relève que la société n’a pas mis en place de mesure spécifique permettant d’interrompre l’enregistrement de la conversation téléphonique lors de la collecte des données bancaires des clients. Or, elle considère que l’enregistrement sonore des données bancaires des clients n’est pas utile pour la société dans le cadre du contrôle qualité, à des fins probatoires ou de sécurité.
44. À titre d’exemple, la formation restreinte rappelle qu’elle a déjà considéré, dans sa délibération n°SAN-2020-003 du 28 juillet 2020, à l’égard d’une société qui, lors de l’enregistrement de conversations téléphoniques à des fins de formation, enregistrait les coordonnées bancaires des clients qui passaient des commandes par téléphone que " les coordonnées bancaires sont des données qui compte tenu de leur nature et des risques de fraude associés doivent faire l’objet d’une protection renforcée de la part des responsables de traitement. (…) leur utilisation par des tiers non autorisés, dans le cadre de paiement frauduleux, est susceptible d’entraîner un préjudice pour les personnes concernées. La formation restreinte constate que la société enregistrait et conservait des données dont elle n’avait aucun usage au regard de la finalité poursuivie par le traitement en cause, à savoir la formation des salariés. Elle considère donc, au vu de ces éléments qu’un manquement à l’article 5-1-c) du RGPD est constitué ".
45. Par ailleurs, la formation restreinte considère que l’enregistrement sonore des données bancaires n’est pas non plus pertinent au regard des finalités invoquées par la société lors de la procédure : la réservation de rendez-vous avec un voyant, la simplification du règlement des consultations ultérieures, le paiement d’abonnements et la lutte contre la fraude.
46. Par conséquence, elle considère, au vu de ces éléments, qu’un manquement à l’article 5, paragraphe 1, c) du RGPD est constitué, dès lors que la société collecte des données excessives au regard des finalités poursuivies.
B. Sur le manquement relatif à l’obligation de définir et de respecter une durée de conservation proportionnée à la finalité du traitement en application de l’article 5-1-e du RGPD
47. Aux termes de l’article 5, paragraphe 1, e) du RGPD, les données à caractère personnel doivent être " conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées (…) ".
48. La rapporteure relève, par une lecture combinée de la politique de durées de conservation et de la politique de confidentialité de la société, que la durée de conservation des données des clients, à des fins de gestion de la relation commerciale et de suivi de la clientèle, est fixée à trois ans à compter de la fin de la relation commerciale.
49. Elle observe que, lors de la procédure de contrôle, la société a pourtant indiqué que figurent dans sa base de données, en base active, des données à caractère personnel de […] clients n’ayant pas eu de consultation avec un voyant depuis plus de trois ans, dont au moins […] clients n’ont pas eu de consultation avec un voyant depuis plus de cinq ans.
50. Elle fait grief à la société de conserver les données de ses clients pour une durée excessive. 
51. En défense, la société conteste la volumétrie visée par la rapporteure. Elle considère qu’elle comporte des doublons. Elle indique, à titre d’exemple, qu’une personne qui recourt à une consultation par chat pour dix minutes gratuites, puis une consultation par chat payante, et enfin une consultation par téléphone, est comptabilisée trois fois dans la base de données. 
52. Par ailleurs, la société reproche à la rapporteure de se référer à la dernière consultation d’un client avec un voyant pour apprécier la durée de conservation des données, sans prendre en compte le fait qu’un client peut consommer son crédit sans limite de temps. 
53. En outre, elle justifie la durée de conservation des données de ses clients pendant trois ans à compter de la fin de la relation commerciale par le fait qu’un client peut recontacter un voyant plusieurs années après la dernière consultation et qu’il est nécessaire pour le voyant de pouvoir reconnaître un client qui n’aurait pas recouru à ses services depuis longtemps.
54. Elle indique qu’après la notification du rapport, elle a mis en place un mécanisme de purge afin de ne conserver les données de ses clients qu’un an à compter de la fin de la relation contractuelle.
55. La formation restreinte relève que, lors du contrôle sur pièces, la société conservait en base active les données personnelles de […] clients n’ayant pas eu de consultation depuis plus de trois ans, dont […] clients n’ayant pas eu de consultation depuis plus de cinq ans. 
56. La formation restreinte note que, si cette volumétrie comporte des doublons, selon la société, cette dernière n’a pour autant pas communiqué à la CNIL le nombre de clients uniques dont les données étaient conservées depuis plus de trois et cinq ans, depuis leur dernier rendez-vous. 
57. Elle note, par ailleurs, que la société justifie cette conservation des données, notamment par le fait que les clients ont la possibilité de consommer leur crédit sans limite de temps. Pour autant, la société n’a pas indiqué à la CNIL, lors de la procédure, que les […] clients n’ayant pas eu de consultation depuis plus de trois ans, dont […] clients depuis plus de cinq ans, correspondent bien à des clients qui bénéficient encore d’un crédit.
58. Enfin, la formation restreinte relève que la société conservait, au jour des contrôles, les données de ses clients pendant trois ans à compter de la fin de la relation commerciale et, au jour de la séance de la formation restreinte, pendant un an à compter de la fin de la relation commerciale. La formation restreinte note que la société justifie cette durée de conservation par le besoin de réidentifier un client qui n’a pas recouru à ses services depuis longtemps afin de lui assurer un suivi personnalisé le jour où il souhaite bénéficier d’une nouvelle consultation. 
59. La formation restreinte relève que la société n’a pas indiqué à la CNIL, lors de la procédure, que ces données sont conservées en archivage intermédiaire.
60. La formation restreinte considère qu’à l’issue de la relation commerciale, la conservation des données à caractère personnel des clients en base active, pour la finalité susvisée, n’est pas justifiée. En revanche, elle considère qu’à l’issue de cette durée, certaines données des clients peuvent être conservées pour cette finalité en archivage intermédiaire.
61. À titre illustratif, dans son référentiel relatif aux traitements de données à caractère personnel mis en œuvre aux fins de gestion des activités commerciales du 23 septembre 2021, la CNIL indique que " les données nécessaires à l'exécution des contrats sont conservées pendant la durée de la relation contractuelle. Au terme du contrat, elles doivent être conservées en archivage intermédiaire et pour un délai raisonnable, si le responsable du traitement en a l'obligation légale (par exemple, pour répondre à des obligations comptables ou fiscales) ou s'il souhaite se constituer une preuve en cas de contentieux, et dans la limite du délai de prescription applicable. Il conviendra de prévoir à cet effet une base de données d'archives dédiée ou une séparation logique dans la base de données active, après avoir opéré un tri des données pertinentes à archiver. (…) " 
62. Par conséquent, la formation restreinte considère que ces faits constituent un manquement aux dispositions de l’article 5, paragraphe 1, e) du RGPD.
C. Sur le manquement relatif à l’obligation de traiter les données de façon licite en application de l’article 6 du RGPD
63. Selon l’article 6 du RGPD, " le traitement n'est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie :
a) la personne concernée a consenti au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques ;
b) le traitement est nécessaire à l'exécution d'un contrat auquel la personne concernée est partie ou à l'exécution de mesures précontractuelles prises à la demande de celle-ci ;
c) le traitement est nécessaire au respect d'une obligation légale à laquelle le responsable du traitement est soumis ;
d) le traitement est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d'une autre personne physique ;
e) le traitement est nécessaire à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement ;
f) le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent une protection des données à caractère personnel, notamment lorsque la personne concernée est un enfant. "
64. La rapporteure note que dans le cadre des consultations par chat, la société conserve les données bancaires de ses clients, au-delà du temps strictement nécessaire à la réalisation de la transaction, pour faciliter les paiements ultérieurs, et ce, sans recueillir leur consentement préalable, par exemple sur le formulaire de collecte de données.
65. En défense, la société considère que la conservation des données bancaires de ses clients a pour finalité l’achat de crédits et repose sur le contrat qui la lie à ses clients. Elle considère également que la conservation de ces données à des fins de lutte contre la fraude repose sur son intérêt légitime.
66. La formation restreinte rappelle que la base légale du traitement des données bancaires peut varier notamment en fonction de la finalité poursuivie.
67. En l’espèce, en premier lieu, s’agissant de la finalité relative à la lutte contre la fraude, la formation restreinte considère que la base légale de la conservation des données bancaires est, conformément à ce que soutient la société, l’intérêt légitime de celle-ci, ce qui n’est pas contesté par la rapporteure.
68. À cet égard, la Commission indique, dans sa délibération n° 2018-303 du 6 septembre 2018 portant adoption d'une recommandation concernant le traitement des données relatives à la carte de paiement en matière de vente de biens ou de fourniture de services à distance, que " la conservation des données relatives à la carte de paiement au-delà de la réalisation d'une transaction à des fins de lutte contre la fraude à la carte de paiement ne rentre pas dans le cadre du contrat. Elle considère en effet que ce traitement relève de l'intérêt légitime du responsable de traitement, sous réserve de ne pas méconnaître l'intérêt ou les droits et libertés des personnes en application de l'article 6-1-f du RGPD, en garantissant notamment le respect des principes de transparence et l'effectivité de l'exercice de leurs droits par les personnes concernées ".
69. S’agissant en second lieu de la finalité relative au re-créditage, la formation restreinte considère que les données bancaires des clients sont conservées pour offrir un service supplémentaire aux clients, en l’occurrence ne pas avoir à ressaisir leur numéro de carte lors de l’achat de crédit supplémentaire, ce qui va au-delà de l’exécution du contrat conclu. 
70. Dès lors, elle considère que le traitement des données bancaires des clients à cette fin ne peut pas reposer sur le contrat conclu entre le client et la société et nécessite que soit recueilli le consentement préalable des clients.
71. La formation restreinte rappelle, à titre illustratif, que la Commission estime, dans sa délibération susvisée, qu’à des fins de paiement unique, " le numéro de carte bancaire ne peut être collecté et traité que pour permettre la réalisation d'une transaction dans le cadre de l'exécution du contrat conclu par la personne concernée conformément à l'article 6-1-b du RGPD (exécution contractuelle). Ainsi, en cas de contrat impliquant un paiement unique, la Commission estime que les données n'ont donc pas vocation à être conservées au-delà du temps de transaction commerciale ". 
72. Toujours à titre illustratif, dans la délibération susvisée, la Commission indique que " la conservation du numéro de la carte du client afin de faciliter ses éventuels paiements ultérieurs, et éventuellement pouvoir procéder à un achat en " un clic " sur le site du commerçant, va au-delà de l'exécution du contrat conclu. Elle retient que cette faculté constitue une option indépendante de l'acte initial ayant conduit à la collecte des coordonnées bancaires et rappelle qu'un tel traitement nécessite que soit recueilli au préalable le consentement libre, spécifique, éclairé et univoque des personnes, en application de l'article 6-1-a du RGPD ".
73. La formation restreinte rappelle également que dans sa décision du 10 décembre 2020, n° 429571, le Conseil d’état a retenu que " la CNIL a pu à bon droit estimer que, de façon générale, devait être soumise au consentement explicite de la personne concernée la conservation des numéros de cartes bancaires des clients des sites de commerce en ligne pour faciliter des achats ultérieurs. Il suit de là que le moyen tiré de la méconnaissance par la délibération litigieuse du règlement du 27 avril 2016 doit être écarté ".
74. En conséquence, la formation restreinte considère qu’un manquement à l’article 6, paragraphe 1, du RGPD est constitué, dès lors que la société conserve les données bancaires de ses clients, au-delà de la réalisation de la transaction, afin de faciliter l’achat de crédit supplémentaire, sans recueillir au préalable leur consentement. 
D. Sur le manquement relatif à l’obligation de recueillir le consentement préalable à la collecte de catégories particulières de données en application de l’article 9 du RGPD
75. En vertu de l’article 9 du RGPD, le traitement des données à caractère personnel qui révèle des données concernant la santé ou l’orientation sexuelle d'une personne physique est interdit sauf s’il relève d’une des conditions prévues à l’article 9-2-a) à j) du RGPD.
76. La rapporteure constate que les voyants ont la possibilité de rédiger des commentaires sur les fiches clients de la société après une consultation. Elle note que, parmi ces commentaires, figurent des informations révélées par les clients concernant leur santé et leur orientation sexuelle. Elle relève que, lors de la création du compte utilisateur, la société ne recueille pas l’accord de la personne concernée sur l’utilisation de ces données. 
77. En défense, la société fait valoir que le simple fait pour une personne de s’adresser à un voyant et de communiquer spontanément des données sensibles lors de l’échange constitue un acte positif clair de transmettre certaines données et donc un consentement. 
78. En outre, la société soutient que les commentaires des voyants ne permettent pas, pour la plupart, d’identifier la personne concernée, les données étant pseudonymisées.
79. La formation restreinte note, tout d’abord, que, lors des consultations, les clients peuvent communiquer aux voyants des données relatives à leur état de santé et à leur orientation sexuelle. À l’issue des consultations, les voyants formulent des commentaires sur les fiches de leurs clients. Ces fiches sont conservées dans leur outil métier. La formation restreinte observe que, dans le cadre de leurs commentaires, les voyants mentionnent les informations relatives à l’état de santé et à l’orientation sexuelle des clients qu’ils ont collectées lors de la consultation.
80. La formation restreinte considère que les mesures prises par la société ne correspondent pas à une anonymisation des données des clients mais à une simple pseudonymisation, dans la mesure où l’identifiant, associé au commentaire, et les informations qu’il comporte, permettent de réidentifier le client concerné. 
81. La formation restreinte relève, ensuite, qu’en l’absence d’autres conditions mobilisables au cas d’espèce au titre de l’article 9-2-b) à j) du RGPD, un tel traitement ne peut être mis en œuvre que sur la base du consentement explicite de la personne concernée au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques, en application de l’article 9-2-a) du RGPD. La formation restreinte rappelle que le caractère explicite du consentement s’analyse au cas par cas et dépend du contexte du traitement des données sensibles. Lorsque le service demandé par l’utilisateur implique nécessairement le traitement de données sensibles, il est cependant nécessaire que l’utilisateur ait pleinement conscience de ce que ses données sensibles seront traitées et parfois conservées par le responsable de traitement, ce qui implique en principe une information explicite sur ce point lors du recueil du consentement.
82. La formation restreinte rappelle que selon l’article 4, alinéa 11, du RGPD, la notion de consentement s’entend comme toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l'objet d'un traitement. 
83. D’une part, la formation restreinte considère que le caractère explicite du consentement prévu à l’article 9, paragraphe 2, a), du RGPD suppose de permettre à la personne concernée de manifester, par une action positive, son assentiment au traitement de données sensibles, attestant de la matérialité de son consentement.
84. À titre d’éclairage, la formation restreinte rappelle que dans ses lignes directrices sur le consentement au sens du règlement 2016/679 du 10 avril 2018, le Comité européen de la protection des données (ci-après " CEPD ") indique que " le RGPD stipule qu’une " déclaration ou un acte positif clair " est une condition sine qua non d’un consentement " standard ". Dès lors que les exigences pour un consentement " standard " dans le RGPD sont déjà portées à un niveau supérieur à celles de la directive 95/46/CE, il convient de préciser quels efforts complémentaires un responsable du traitement devrait entreprendre afin d’obtenir le consentement explicite d’une personne concernée conformément au RGPD. Le terme explicite se rapporte à la façon dont le consentement est exprimé par la personne concernée. Il implique que la personne concernée doit formuler une déclaration de consentement exprès. Une manière évidente de s’assurer que le consentement est explicite serait de confirmer expressément le consentement dans une déclaration écrite. Le cas échéant, le responsable du traitement pourrait s’assurer que la déclaration écrite est signée par la personne concernée afin de prévenir tout doute potentiel et toute absence potentielle de preuve à l’avenir. Une telle déclaration signée n’est toutefois pas la seule façon d’obtenir le consentement explicite […] " (lignes directrices 2016/679 WP259 rev.01 du 10 avril 2018, page 21).