AgentPublic/cnil huggingface dataset:
136. La société estime par ailleurs que les difficultés économiques rencontrées par le groupe SOLOCAL doivent être prises en compte dans la détermination du montant d’une éventuelle amende. La société relève également que ses activités de marketing direct ne représentent que 1 689 725 euros en 2023 soit 2,21% de son chiffre d’affaires (contre 97,79% pour son activité de création de sites web), et que seule une partie de ce chiffre est concernée par les manquements. Elle demande ainsi à la formation restreinte de limiter la base de calcul de l’amende à la partie du chiffre d’affaires générée par les activités concernées par les manquements.
137. En outre, la société estime que le montant de l’amende proposée par le rapporteur apparait disproportionné au regard des lignes directrices du CEPD sur le calcul des amendes administratives et des autres sanctions prononcées par la formation restreinte.
138. A titre liminaire, la formation restreinte rappelle que l’exigence de motivation d’une sanction administrative n’impose pas à la formation restreinte de se prononcer sur l’ensemble des critères prévus à l’article 83 du RGPD, et qu’elle n’implique pas non plus que soient indiqués les éléments chiffrés relatifs au mode de détermination du montant de la sanction proposée ou prononcée (CE, 10e/9e ch., 19 juin 2020, n° 430810 ; CE, 10e/9e ch., 14 mai 2024, n° 472221). En outre, si les lignes directrices adoptées par le Comité européen de la protection des données ont pour ambition de fixer des montants de départ harmonisés et des orientations communes sur la base desquelles les amendes administratives peuvent être calculées, les autorités de contrôle "ne sont aucunement tenues d’en observer toutes les étapes si ces dernières ne trouvent pas application dans un cas donné, ni d’exposer les motivations ayant trait aux aspects des lignes directrices qui sont sans objet. Cependant, le raisonnement devrait inclure au minimum les facteurs qui ont permis de déterminer le degré de gravité, le chiffre d’affaires appliqué ainsi que les facteurs aggravants ou atténuants qui ont été pris en considération .
139. Ceci étant rappelé, la formation restreinte considère qu’il convient, en l’espèce, d’examiner les critères pertinents de l’article 83 du RGPD pour décider s’il y a lieu d’imposer une amende administrative à la société et, le cas échéant, pour déterminer son montant.
1) Sur le prononcé de l’amende
140. Premièrement, la formation restreinte considère qu’il y a lieu de tenir compte, en application de l’article 83, paragraphe 2, a) du RGPD, de la nature, de la gravité et de la durée des violations, compte tenu de la nature, de la portée ou de la finalité des traitements concernés, ainsi que du nombre de personnes concernées affectées et du niveau de dommage qu'elles ont subi.
141. Elle relève qu’en l’espèce, deux des manquements constatés entrent dans les prévisions de l’article 83, paragraphe 5 du RGPD et sont susceptibles d’être sanctionnés par l’amende la plus élevée prévue par le législateur européen, soit 20 millions d’euros ou, dans le cas d'une entreprise, jusqu'à 4 % de son chiffre d'affaires. A titre d’éclairage, les lignes directrices sur l’application et la fixation des amendes administratives adoptées par le groupe de travail "article 29 "le 3 octobre 2017 soulignent qu’en "fixant deux montants maximaux différents pour l’amende administrative (10 et 20 millions d’euros), le règlement indique déjà que la violation de certaines dispositions du règlement peut être plus grave que celle d’autres dispositions .
142. La formation restreinte souligne que ces manquements concernent les principes de base d’un traitement et ont trait notamment à sa licéité, certaines des opérations de prospection commerciale réalisées intervenant sans base légale valable (la société ne disposant pas du consentement des personnes concernées pour les démarcher par voie électronique et ne pouvant se fonder sur la base légale de l’intérêt légitime pour transmettre à ses clients certaines données de prospects à contacter par téléphone). La formation restreinte insiste en outre sur le nombre particulièrement élevé de personnes dont la société traite les données, sa base […] contenant plus de 75 millions d’entrées, pour un total dédoublonné de 35 millions de personnes uniques, soit environ la moitié de la population française.
143. S’agissant plus particulièrement du manquement à l’article L. 34-5 du CPCE, la formation restreinte entend souligner sa particulière gravité dans la mesure où il a été constaté qu’aucun des formulaires transmis par la société ne permettait de recueillir un consentement valide des personnes concernées. Cette proportion atteste du caractère systémique et non isolé du manquement, étant précisé que les formulaires examinés proviennent de deux des trois plus gros fournisseurs de données de la société. En outre, la formation restreinte entend insister sur le nombre de personnes concernées par le manquement, la société ayant indiqué avoir démarché près de 5,2 millions de personnes par voie électronique au cours de l’année 2022.
144. S’agissant ensuite du manquement à l’article 7 du RGPD, la formation restreinte relève que la société n’a pas été en mesure de présenter la preuve du consentement recueilli, pour son compte, par l’un de ses principaux fournisseurs de données. Un tel manquement concerne, là encore, un nombre particulièrement important de personnes, la société ayant indiqué avoir démarché, en 2022, plus de 1,2 million de personnes (SMS et courriers électroniques confondus) dont les données lui ont été transmises par ce fournisseur.
145. Enfin, s’agissant du manquement à l’article 6 du RGPD, la formation restreinte relève que la société a transmis à ses clients, en 2022, les numéros de téléphone mobile de 78 172 personnes, personnes sans que celles-ci puissent raisonnablement s’y attendre, ce traitement ayant ainsi eu lieu sans que la société ne puisse légitimement se prévaloir de la base légale de l’intérêt légitime pour ce faire.
146. Deuxièmement, la formation restreinte estime qu’il convient de tenir compte du critère prévu à l’article 83, paragraphe 2, b) du RGPD, relatif au fait que la violation ait été commise délibérément ou par négligence.
147. Ainsi qu’il a déjà été rappelé, la formation restreinte souligne que les règles relatives à la prospection commerciale sont définies depuis de nombreuses années et que la société était parfaitement consciente que pour réaliser ses opérations de prospection par voie électronique, elle devait disposer d’un consentement valable. La formation restreinte relève à cet égard que la société a mis en place, dès le début de l’année 2022, des procédures visant à réaliser des audits de ses fournisseurs et à vérifier la validité du consentement recueilli. Malgré ces vérifications, la société n’a pas pris les mesures propres à assurer sa mise en conformité. Au contraire, la société a continué à exploiter les données transmises et ce n’est qu’après plusieurs mois (17 mois s’agissant du manquement à l’article 7 du RGPD) qu’elle a pris des mesures pour faire cesser les manquements constatés. La formation restreinte considère qu’en s’affranchissant du respect de ces règles, la société s’est montrée, à tout le moins, fortement négligente.
148. Troisièmement, la formation restreinte considère que le critère relatif aux mesures prises par le responsable de traitement pour atténuer le dommage subi par les personnes concernées doit également être pris en compte, en application de l’article 83, paragraphe 2, c) du RGPD.
149. Il apparait en effet que, depuis les contrôles réalisés, la société a pris des mesures pour renforcer les vérifications effectuées sur les formulaires de collecte mis en œuvre par ses partenaires primo-collectants. Elle a également cessé d’exploiter les données transmises par la société [X3]. La formation restreinte relève néanmoins que cette dernière mesure n’est intervenue que tardivement, près de dix-huit mois après avoir constaté que son partenaire n’était pas en mesure de lui communiquer les éléments nécessaires au respect des dispositions de l’article 7 du RGPD.
150. Quatrièmement, la formation restreinte entend tenir compte de certaines autres circonstances applicable aux faits de l’espèce, en application de l’article 83, paragraphe 2, k) du RGPD.
151. La formation restreinte considère notamment que la société a tiré des violations commises un avantage financier certain, dans la mesure où elle s’est vu rémunérer par ses clients pour la fourniture des données en cause.
152. Par ailleurs, de manière plus générale, la formation restreinte considère que, même si la société concentre aujourd’hui son activité sur la conception de sites web, au point que l’activité en cause représente moins de 3% de son chiffre d’affaire, elle reste un acteur important du marché, qu’elle pratique depuis longtemps dans la mesure où elle a été créée pour assurer les activités de marketing du groupe PAGES JAUNES, et que toute la partie de cette activité repose sur l’achat, l’utilisation et la transmission de données à caractère personnel. Elle considère que, dans ces conditions, la société était parfaitement au fait des règles régissant la prospection commerciale et qu’elle se devait d’être particulièrement vigilante pour assurer la conformité de ses pratiques à la règlementation en matière de protection des données à caractère personnel.
153. Au regard de l’ensemble de ces éléments, la formation restreinte considère que le prononcé d’une amende apparait justifié s’agissant des manquements aux articles L. 34-5 du CPCE et 7 du RGPD.
154. La formation restreinte constate la part résiduelle des données concernées par le manquement à l’article 6 du RGPD (les données transmises sans base légale représentant environ 8,5% de l’activité "ListConnect "en 2022, cette activité représentant elle-même une part très marginale de l’activité globale de la société).
2) Sur le montant de l’amende
155. La formation restreinte relève d’abord qu’en application de l’article 83 du RGPD, une amende administrative pouvant atteindre 20 millions d'euros ou, s'agissant d'une entreprise, 4 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu, est susceptible d’être prononcée.
156. La formation restreinte rappelle ensuite que les amendes administratives doivent être à la fois dissuasives et proportionnées.
157. En premier lieu, s’agissant du calcul de l’assiette de l’amende – que la société entend voir limiter à la seule part du chiffre d’affaires tiré des manquements, la formation restreinte relève qu’une telle limitation n’est prévue par aucun texte et que la gravité des manquements relevés n’est pas nécessairement liée aux revenus qu’ils ont générés. Ainsi, afin d’assurer le caractère dissuasif et proportionné de la sanction prononcée, la formation restreinte considère qu’il y a lieu de s’appuyer sur le chiffre d’affaires total de la société, comme le prévoient les dispositions de l’article 83 du RGPD.
158. En second lieu, la formation restreinte observe que le chiffre d’affaires de la société pour l’année 2023 s’élève à 76,3 millions d’euros, pour un résultat net de 16,3 millions d’euros. Il convient de relever que, alors que le reste du groupe SOLOCAL n’exerce pas d’influence sur les activités opérationnelles de la société, ces chiffres, qui concernent spécifiquement la société SOLOCAL MARKETING SERVICES, seule concernée par la procédure de sanction, n’ont subi aucune baisse significative au cours des trois dernières années.
159. Dès lors, au regard de la responsabilité de la société, de ses capacités financières et des critères pertinents de l’article 83 du RGPD, la formation restreinte considère qu’une amende administrative d’un montant de neuf cent mille (900 000) euros apparait dissuasive et proportionnée pour sanctionner les manquements aux articles L. 34-5 du CPCE et 7 du RGPD.
B. Sur le prononcé d’injonctions sous astreinte 
160. Le rapporteur estime que le prononcé d’injonctions sous astreinte est nécessaire afin d’assurer la mise en conformité de la société.
161. La société considère qu’une telle mesure apparait injustifiée et que le montant de l’astreinte proposé par le rapporteur est disproportionné.
162. S’agissant du manquement aux dispositions de l’article L. 34-5 du CPCE, la société rappelle que, si elle peut continuer à procéder à des vérifications régulières – voire renforcer ses procédures de contrôle -, elle n’est pas en mesure de maîtriser les données qui lui sont transmises par les primo-collectants.
163. S’agissant du manquement aux dispositions de l’article 7, paragraphe 1 du RGPD, la société considère qu’elle n’a pas lieu d’être dans la mesure où les relations contractuelles avec la société [X3] sont en cours de résiliation.
164. S’agissant du manquement aux dispositions de l’article 6 du RGPD, la société précise qu’elle cessera cette activité au plus tard au 31 décembre 2024, en raison de la fin de son contrat avec la société [X4]. Elle estime dès lors qu’une telle injonction apparait sans objet.
165. Par ailleurs, la société considère qu’en tout état de cause, si des injonctions devaient être prononcées, un délai raisonnable et suffisant devrait lui être accordé, au regard des mesures techniques et organisationnelles à déployer.
166. La formation restreinte relève, s’agissant du manquement à l’article L. 34-5 du CPCE, qu’il convient de prononcer à l’encontre de la société une injonction de cesser de procéder à des opérations de prospection commerciale par voie électronique en l’absence d’un consentement valable. La société devra, dans ce cadre, ne plus utiliser les données collectées à partir de formulaires ne permettant pas de recueillir un tel consentement ou, à défaut, recueillir elle-même ce consentement.
167. S’agissant du manquement à l’article 7 du RGPD, la société a indiqué ne plus utiliser, depuis le 18 octobre 2024, les données transmises par la société [X3]. Elle a précisé que le contrat avec ce partenaire serait définitivement rompu à compter du 9 janvier 2025. Dans ces conditions, et dans la mesure où le manquement relevé ne concernait que les données recueillies par la société [X3], la formation restreinte considère qu’il n’y a pas lieu de prononcer d’injonction.
168. S’agissant du manquement à l’article 6 du RGPD, la formation restreinte observe que selon les éléments communiqués par la société, cette dernière a cessé son activité "ListConnect , consistant à transmettre des données à ses clients afin que ceux-ci réalisent eux-mêmes des opérations de prospection commerciale par voie postale ou téléphonique. Il en résulte que le prononcé d’une injonction apparait sans objet.
169. Par ailleurs, pour garantir le respect de l’injonction prononcée s’agissant du manquement à l’article L. 34-5 du CPCE, la formation restreinte considère qu’au regard du chiffre d’affaires de la société et des moyens financiers, humains et techniques dont elle dispose pour remédier aux manquements constatés, il convient de prononcer une astreinte journalière d’un montant de dix mille (10 000) euros par jour de retard, liquidable à l’issue d’un délai de neuf (9) mois à compter de la notification de la décision.
C. Sur la publicité de la sanction 
170. La société estime que la publication de la décision n’apparait pas justifiée, compte tenu notamment de la faible gravité des manquements relevés. Elle relève que les personnes concernées n’ont subi aucun préjudice et n’ont déposé aucune plainte. Elle insiste sur l’impact qu’elle pourrait avoir sur son activité dans la mesure où elle entraînerait une perte de confiance de ses clients, mais également sur le groupe dans son ensemble.
171. La formation restreinte considère au contraire qu’une telle mesure s’impose au regard de la gravité des manquements en cause ainsi que du nombre de personnes concernées, qui seront ainsi informées. Elle rappelle que l’absence de plainte déposée auprès de la CNIL ne signifie pas que les personnes concernées n’ont subi aucun préjudice, ce dernier pouvant consister, en l’espèce, à ressentir une certaine gêne ou irritation à la réception de messages de prospection commerciale sans y avoir consenti, ou à voir ses données transmises à des tiers sans pouvoir raisonnablement s’y attendre.
172. Elle estime en outre que cette mesure apparait proportionnée dès lors que la décision n’identifiera plus nommément la société à l’issue d’un délai de deux ans à compter de sa publication.
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide de : 
• prononcer une amende administrative à l’encontre de la société SOLOCAL MARKETING SERVICES d’un montant de neuf cent mille (900 000) euros pour manquements aux articles L. 34-5 du code des postes et des communications électroniques et 7 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ; 
• prononcer à l’encontre de la société SOLOCAL MARKETING SERVICES une injonction de cesser de procéder à des opérations de prospection commerciale par voie électronique en l’absence d’un consentement valable ;
• assortir l’injonction d’une astreinte de dix mille (10 000) euros par jour de retard à l’issue d’un délai de neuf (9) mois suivant la notification de la présente délibération, les justificatifs de la mise en conformité devant être adressés à la formation restreinte dans ce délai ; 
• rendre publique, sur le site web de la CNIL et sur le site web de Légifrance, sa délibération, qui ne permettra plus d’identifier nommément la société à l’issue d’une durée de deux ans à compter de sa publication.
Le président
Philippe-Pierre CABOURDIN
Cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’État dans un délai de deux mois à compter de sa notification.
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Philippe-Pierre CABOURDIN, président, Mmes Laurence FRANCESCHINI et Isabelle LATOURNARIE-WILLEMS, M. Bertrand du MARAIS et M. Didier KLING, membres ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notam-ment ses articles 20 et suivants ; 
Vu le code des postes et des communications électroniques ;
Vu le décret no 2019-536 du 29 mai 2019 pris pour l'application de la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la décision n° 2022-052C du 25 mars 2022 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements liés à la mise en œuvre par la société CALOGA auprès de tout organisme susceptible d’être concerné par leur mise en œuvre ;
Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés du 22 avril 2024 portant désignation d’un rapporteur devant la formation restreinte ;
Vu le rapport de Mme Aminata NIAKATÉ֤, commissaire rapporteure, signifié à la société CALOGA le 21 juin 2024 ; 
Vu les observations écrites versées par la société CALOGA le 22 juillet 2024 ;
Vu la réponse de la rapporteure à ces observations, signifiée à la société le 22 août 2024 ;
Vu les nouvelles observations écrites versées par la société CALOGA le 30 septembre 2024 ;
Vu la clôture de l’instruction, signifiée à la société le 3 décembre 2024 ; 
Vu les observations orales formulées lors de la séance de la formation restreinte du 13 mars 2025 ;
Vu les autres pièces du dossier ;
Étaient présents, lors de la séance de la formation restreinte du 13 mars 2025 :
- Mme Aminata NIAKATÉ, commissaire, entendue en son rapport ;
En qualité de représentants de la société CALOGA :
- […]
Le président ayant vérifié l’identité des représentants du mis en cause, présenté le déroulé de la séance et rappelé que les mis en cause peuvent, s’ils le souhaitent, présenter des observations orales introductives ou en réponse aux questions des membres de la formation restreinte ;
La société CALOGA ayant eu la parole en dernier ;
La formation restreinte a adopté la décision suivante :
I. FAITS ET PROCÉDURE
1. La société CALOGA (ci-après la société ) est une société par action simplifiée sise 75 rue Guy Moquet à Malakoff (92240). Créée en 2000, la société CALOGA poursuit deux activités : elle réalise des opérations de prospection commerciale par voie électronique pour le compte d’annonceurs auprès des prospects de ses bases de données, constituées auprès de partenaires primo-collectants qui organisent notamment des jeux-concours. Elle intervient également comme courtier en données ( data broker ), en transmettant des données, collectées par des partenaires primo-collectants, à des partenaires qui vont faire de la prospection commerciale pour leurs propres annonceurs.
2. En 2021, la société CALOGA comptait neuf salariés. Elle a réalisé, pour la même année, un chiffre d'affaires de […] euros pour un résultat net de […] euros. La société a ensuite progressivement cessé ses activités. En 2022, son chiffre d’affaires s’élevait à […] euros pour un résultat net de […] euros. En 2023, son chiffre d’affaires s’élevait à […] euros pour un résultat net déficitaire de […] euros.
3. En application de la décision n° 2022-052C du 25 mars 2022 de la Présidente de la Commission nationale de l'informatique et des libertés (ci-après la CNIL ou la Commission ), un contrôle a été réalisé les 11 et 12 mai 2022 dans les locaux de la société. Cette mission avait pour but de vérifier la conformité des traitements mis en œuvre par la société avec les dispositions de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés (ci-après la loi Informatique et Libertés ou loi du 6 janvier 1978 modifiée ) et des autres dispositions relatives à la protection des données personnelles prévues par les textes législatifs et réglementaires, le droit de l'Union européenne et les engagements internationaux de la France.
4. Des procès-verbaux n° 2022-052/1 et n° 2022-052/2 des 11 et 12 mai 2022, ont été notifiés à la société à l’issue des journées de contrôle sur place. Plusieurs échanges entre la société et la délégation ont eu lieu entre mai 2022 et mai 2023.
5. Aux fins d’instruction de ces éléments, la présidente de la Commission a, le 22 avril 2024, désigné Mme Aminata NIAKATÉ en qualité de rapporteure sur le fondement de l’article 22 de la loi du 6 janvier 1978 modifiée.
6. Le 21 juin 2024, à l’issue de son instruction, la rapporteure a fait signifier à la société un rapport détaillant les manquements aux articles 5, paragraphe 1, e), 6 et 32 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (ci-après le Règlement ou le RGPD ) et L. 34-5 du Code des postes et des communications électroniques (ci-après CPCE ) qu’elle estimait constitués en l’espèce. Ce rapport proposait à la formation restreinte de prononcer à l’encontre de la société une amende administrative. Il proposait également que cette décision soit rendue publique mais qu’il ne soit plus possible d’identifier nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.
7. Plusieurs échanges d’écriture ont par la suite eu lieu entre la rapporteure et la société, jusqu’à la clôture de l’instruction signifiée à la société le 3 décembre 2024.
8. A l’issue de la procédure contradictoire écrite, la rapporteure et la société ont présenté des observations orales lors de la séance de la formation restreinte.
II. MOTIFS DE LA DECISION 
A. Sur les traitements en cause et la responsabilité de la société CALOGA