AgentPublic/cnil huggingface dataset:
24. En défense, la société souligne d’abord que les appels examinés dans le rapport ne reflètent pas les pratiques de l’ensemble des conseillers dès lors qu’il ne s’agit que de quatre-vingt-quatre enregistrements d’appels et qu’ils correspondent à des appels pour lesquels les conseillers n’ont pas respecté les consignes données. Ces consignes permettaient pourtant de fournir aux personnes concernées les " informations essentielles / prioritaires " selon la société. La société ajoute ensuite avoir modifié, dans le cadre de la procédure, le script fourni aux conseillers, afin de mettre davantage en exergue les informations essentielles en début d’appel et d’inviter les personnes qui le souhaitent à avoir plus d’informations, en appuyant sur une touche du téléphone. La société indique également avoir renforcé son second niveau d’information en enregistrant un message contenant l’ensemble des informations requises par l’article 14 du RGPD, accessible à partir de cette touche. Elle précise enfin que ses agents ont dû assister à des formations de sensibilisation sur ce sujet. 
 
25. La formation restreinte relève que les quatre-vingt-quatre enregistrements d’appels de démarchage téléphonique recueillis dans le cadre du contrôle révèlent une méconnaissance de l’article 14 du RGPD.
26. La formation restreinte observe que, dans certains cas, les personnes contactées à des fins de prospection ne bénéficiaient d’aucune information. Dans d’autres cas, certaines mentions précitées prévues à l’article 14 du RGPD – comme les finalités du traitement ou encore l’existence des différents droits – n’étaient pas portées à leur connaissance. Dans la plupart des cas, des informations essentielles, comme celles relatives au principe même de l’enregistrement de l’appel et au droit de s’y opposer n’étaient pas communiquées. Les personnes ne se voyaient pas non plus offrir la possibilité d’obtenir une information plus complète relative aux traitements de leurs données à caractère personnel, par exemple via l’activation d’une touche sur leur clavier téléphonique. 
 
27. Dès lors, la formation restreinte considère que les faits précités constituent un manquement à l’article 14 du RGPD.
28. La formation restreinte relève que la société a justifié avoir pris des mesures pour se mettre en conformité au cours de la procédure, en modifiant notamment les consignes contenues dans le script fourni aux conseillers contactant les prospects, et détaillant le message devant leur être délivré en début d’appel. Celui-ci mentionne l’ensemble des informations essentielles, ainsi que la possibilité d’obtenir des informations complémentaires relatives aux traitements de données à caractère personnel mis en œuvre par la société en appuyant sur une touche du clavier du téléphone. Les informations ainsi mises à disposition des personnes sont conformes à l’article 14 du RGPD. 
 
2 Sur les manquements en lien avec l’exercice des droits
 
29. Aux termes de l’article 12 du RGPD :
" 1. Le responsable du traitement prend des mesures appropriées pour fournir toute information visée aux articles 13 et 14 ainsi que pour procéder à toute communication au titre des articles 15 à 22 et de l'article 34 en ce qui concerne le traitement à la personne concernée d'une façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples, en particulier pour toute information destinée spécifiquement à un enfant. Les informations sont fournies par écrit ou par d'autres moyens y compris, lorsque c'est approprié, par voie électronique. Lorsque la personne concernée en fait la demande, les informations peuvent être fournies oralement, à condition que l'identité de la personne concernée soit démontrée par d'autres moyens. 
 
2. Le responsable du traitement facilite l'exercice des droits conférés à la personne concernée au titre des articles 15 à 22. Dans les cas visés à l'article 11, paragraphe 2, le responsable du traitement ne refuse pas de donner suite à la demande de la personne concernée d'exercer les droits que lui confèrent les articles 15 à 22, à moins que le responsable du traitement ne démontre qu'il n'est pas en mesure d'identifier la personne concernée.
3. Le responsable du traitement fournit à la personne concernée des informations sur les mesures prises à la suite d'une demande formulée en application des articles 15 à 22, dans les meilleurs délais et en tout état de cause dans un délai d'un mois à compter de la réception de la demande. Au besoin, ce délai peut être prolongé de deux mois, compte tenu de la complexité et du nombre de demandes. Le responsable du traitement informe la personne concernée de cette prolongation et des motifs du report dans un délai d'un mois à compter de la réception de la demande. Lorsque la personne concernée présente sa demande sous une forme électronique, les informations sont fournies par voie électronique lorsque cela est possible, à moins que la personne concernée ne demande qu'il en soit autrement. 
 
4. Si le responsable du traitement ne donne pas suite à la demande formulée par la personne concernée, il informe celle-ci sans tarder et au plus tard dans un délai d'un mois à compter de la réception de la demande des motifs de son inaction et de la possibilité d'introduire une réclamation auprès d'une autorité de contrôle et de former un recours juridictionnel. (…) ".
30. L’article 15, paragraphe 1, du RGPD prévoit le droit pour une personne d’obtenir du responsable du traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées et, lorsqu'elles le sont, l'accès aux données à caractère personnel la concernant et notamment " g) lorsque les données à caractère personnel ne sont pas collectées auprès de la personne concernée, toute information disponible quant à leur source ". Il est également prévu au paragraphe 3 du même article que " le responsable du traitement fournit une copie des données à caractère personnel faisant l'objet d'un traitement. (…) ".
 
31. Aux termes de l’article 21 du RGPD :
 
" 2. Lorsque les données à caractère personnel sont traitées à des fins de prospection, la personne concernée a le droit de s'opposer à tout moment au traitement des données à caractère personnel la concernant à de telles fins de prospection, y compris au profilage dans la mesure où il est lié à une telle prospection. (…)"
 
1. Sur le manquement aux obligations relatives aux modalités d’exercice des droits des personnes (article 12 du RGPD)
32. Le rapporteur, pour proposer à la formation restreinte de considérer que la société a méconnu ses obligations résultant de l’article 12 du RGPD, se fonde sur quatre saisines de la CNIL, émanant de Mesdames […] (plainte n° […]) et […] (plainte n° […]), et de Messieurs […] (plainte n° […]) et […] (plainte n° […]), dans le cadre desquelles les plaignants faisaient état de difficultés rencontrées dans l’exercice de leurs droits. 
 
33. Le rapporteur indique que ces quatre saisines concernent respectivement une demande de rectification d’adresse de consommation, la prise en compte d’une opposition au traitement des données à des fins de prospection commerciale, une demande d’origine des données et enfin une opposition au traitement des données à des fins de prospection commerciale accompagnée d’une demande de leur suppression.
 
34. Le rapporteur observe qu’il ressort des constats effectués lors de la procédure de contrôle ou des éléments communiqués ultérieurement par la société, que si cette dernière a pris en compte les demandes, elle n’y a apporté des réponses satisfaisantes que tardivement, au-delà des délais fixés par l’article 12 du RGPD, souvent après plusieurs relances du plaignant et engagement de la procédure de contrôle.
35. En défense, la société fait valoir que le manquement allégué au titre de ces quatre saisines n’est intervenu que dans des cas isolés ou complexes et est essentiellement révélateur d’erreurs humaines, durant une période de crise sanitaire et de confinements successifs durant lesquels les individus ont eu plus de temps pour exercer leurs droits. Elle précise que, selon la procédure détaillée que la société a élaborée en 2018 à destination des agents de la direction de la relation client et de son partenaire […] (sous-traitant en charge de la gestion des demandes d’exercice de droits), les demandes doivent être prises en charge immédiatement et au plus tard à J+1 à compter de leur réception, et elles doivent être traitées au plus tard à J+30. Elle détaille en outre les actions menées pour chacune de ces saisines et souligne qu’une réponse a été apportée à toutes ces demandes.
 
36. La formation restreinte rappelle qu’il résulte de l’article 12 du RGPD que lorsqu’une demande d’exercice de droit lui est adressée, le responsable de traitement doit fournir à la personne concernée des informations sur les mesures prises pour répondre à sa demande dans les meilleurs délais et en tout état de cause dans un délai d’un mois. La formation restreinte rappelle également qu’il est possible de prolonger de deux mois ce délai en raison de la complexité de la demande.
37. La formation restreinte note que les faits relevés par le rapporteur ne sont pas contestés par la société. Elle considère qu’un manquement aux obligations de l’article 12 du RGPD est constitué dès lors que la société n’a pas traité certaines demandes d’exercice de droits dans le délai imparti, le délai pris pouvant aller jusqu’à deux ans. S’agissant d’une plaignante, alors même que sa situation était réglée, la société ne l’avait pas informée du traitement effectif de sa demande. Il en résulte que les personnes concernées étaient dans l’ignorance des suites apportées à leurs demandes.
 
38. Par suite, la formation restreinte considère que, quand bien même la société a justifié avoir traité les demandes précitées et avoir pris des mesures pour se mettre en conformité, le manquement à l’article 12 du RGPD est constitué.
 
2. Sur le manquement relatif à l’obligation de respecter le droit d’accès (article 15 du RGPD)
39. Le rapporteur, pour proposer à la formation restreinte de considérer que la société a méconnu ses obligations résultant de l’article 15 du RGPD en matière de droit d’accès, se fonde sur huit saisines de la CNIL, émanant de Messieurs […] (plainte n° […]), […] (plainte n° […]), […] (plainte n° […]), […] (plainte n° […]), […] (plainte n° […]), […] (plainte n° […]), […] (plainte n° […]) et […] (plainte n° […]). Dans le cadre de ces plaintes, les personnes faisaient état de difficultés rencontrées dans l’exercice de ce droit, alors même que leurs demandes avaient bien été réceptionnées.
 
40. Le rapporteur indique que ces huit saisines concernent notamment l’accès aux données à caractère personnel et plus particulièrement leur origine ainsi que l’accès aux enregistrements des conversations téléphoniques.
 
41. Le rapporteur observe qu’il ressort des constats effectués lors de la procédure de contrôle ou des éléments communiqués ultérieurement que la société n’a pas apporté de réponse aux demandeurs ou a apporté des réponses tardives ou erronées.
42. En défense, la société fait valoir que les procédures qu’elle avait mises en place n’ont pas été respectées en raison d’erreurs humaines mais également d’un nombre important de demandes reçues en 2020 ainsi que d’un contexte perturbé lié à la crise sanitaire. Elle indique que si elle n’a pas pris en compte dans le délai imparti certaines demandes d’accès, c’est en raison de difficultés rencontrées pour obtenir ces informations auprès de ses partenaires commerciaux, de sorte qu’elle s’est trouvée dans l’incapacité d’informer correctement les plaignants sur la source de leurs données. La société indique avoir révisé son processus interne de gestion des demandes d’exercice de droit afin de prévenir la répétition de tels incidents et avoir renforcé la communication auprès des équipes concernant le traitement des demandes. Elle fait valoir qu’après des recherches approfondies une réponse a pu être apportée à Messieurs […] […] et […] et qu'elle a supprimé l’ensemble des données les concernant.
43. La formation restreinte relève que la société disposait d’informations relatives aux plaignants, mais qu’en raison de dysfonctionnements internes elle n’a pas traité de manière satisfaisante les différentes demandes. Elle considère que la société ne saurait se prévaloir de ses difficultés dans l’obtention d’informations auprès de ses partenaires commerciaux pour justifier l’absence de réponse fournie aux demandeurs dans le respect des dispositions applicables. En effet, la société fait appel à de nombreux partenaires commerciaux pour la fourniture de données de prospects et il lui appartient, dès lors, de s’organiser pour être en mesure d’assurer un traitement rigoureusement conforme des demandes d’accès et, notamment, fournir une information sur l’origine des données. Ces droits constituent un élément central de la maîtrise des personnes sur le traitement de leurs données à caractère personnel. La société pouvait en outre procéder en plusieurs fois pour communiquer les données dont elle disposait immédiatement dans le délai d’un mois.
44. La formation restreinte note que les faits relevés par le rapporteur ne sont pas contestés par la société. Elle considère qu’un manquement aux obligations de l’article 15 est constitué pour l’ensemble des plaintes précitées dès lors que la société n’a pas traité les demandes d’accès qui lui ont été adressées dans le délai qui lui était imparti, laissant ainsi les personnes dans l’ignorance des données traitées par la société et les concernant. 
 
45. Elle relève que, dans le cadre de la présente procédure, la société a justifié avoir pris des mesures pour se mettre en conformité avec les obligations découlant de l’article 15 du RGPD.
 
3. Sur le manquement relatif à l’obligation de respecter le droit d’opposition (article 21 du RGPD)
 
46. Le rapporteur, pour proposer à la formation restreinte de considérer que la société a méconnu ses obligations résultant de l’article 21 du RGPD, se fonde sur six saisines de la CNIL, émanant de Mesdames […] (plainte n° […]) et […] (plainte n° […]) et de Messieurs […] (plainte n° […]), […] (plainte n° […]), […] (plainte n° […]) et […] (plainte n° […]), dans le cadre desquelles les plaignants faisaient état de leurs difficultés dans l’exercice de leur droit d’opposition à la prospection commerciale.
47. Le rapporteur indique que ces six saisines concernent des demandes de suppression de données afin de ne plus recevoir d’appels de prospection commerciale et la poursuite de sollicitations commerciales nonobstant l’exercice du droit d’opposition au traitement des données pour cette finalité.
 
48. Le rapporteur observe qu’il ressort des constats effectués lors de la procédure de contrôle ou des éléments communiqués ultérieurement que les plaignants n’ont, soit pas obtenu de réponse à leurs demandes d’opposition formulées par lettres recommandées et dont la société avait pourtant accusé réception, au motif qu’elles n’avaient pas été adressées à la cellule chargée de leur traitement, soit ont été informés de la prise en compte de leurs demandes par la société qui leur a confirmé la suppression de leurs données à caractère personnel, mais sans mettre en œuvre les mesures permettant de satisfaire leurs demandes d’opposition, dès lors qu’ils ont continué à recevoir des appels téléphoniques dans les mois qui ont suivi leurs demandes. Il ajoute que pour l’une des demandes d’opposition au traitement des données à caractère personnel à des fins de prospection, la plaignante n’a obtenu aucune satisfaction alors qu’elle avait été reçue par la société.
49. En défense, la société fait d’abord valoir que l’impact sur les droits et libertés des personnes concernées est limité et qu’il convient de mettre ces plaintes en perspective avec le traitement satisfaisant des très nombreuses autres demandes gérées par la société durant l’année 2020. Elle ajoute ensuite que, dans ces cas précis, le non-respect des procédures mises en place par la société était dû à des erreurs humaines d’agents qui n’ont pas toujours eu les réactions adéquates et n’ont pas suivi les procédures imposées. Il s’explique également en raison du contexte perturbé à l’époque des faits, dû à la crise sanitaire, qui a bouleversé l’organisation en place et complexifié les échanges entre les services de la société.
 
50. La société relève que trois demandes n’ont pas été adressées à la cellule chargée de leur traitement. Elle reconnaît avoir réceptionné les courriers. Cependant, elle souligne que le fait que les demandes n’aient pas été transmises à la cellule dédiée et que la personne qui a réceptionné les courriers n’ait pas su identifier leur objet, et ne les ait donc pas transmis à la cellule dédiée, explique leur absence de traitement.
51. Sur ce point, la formation restreinte considère que s’il n’est pas contesté que les plaignants n’ont pas adressé leurs demandes directement à la cellule en charge d’y répondre, il n’en demeure pas moins qu’il appartenait à la société, dès lors que les demandes, dont l’une était directement adressée au délégué de la protection des données, ont bien été réceptionnées par cette dernière et qu’elles étaient claires en leurs termes, de les traiter dans les délais prévus par le RGPD et de veiller à cet effet à ce qu’elles soient transmises au service compétent. En effet, si la mise en œuvre de mesures organisationnelles permettant de faciliter l’exercice des droits des personnes – telle que la mise en place de cette cellule dédiée – est conforme aux exigences et objectifs poursuivis par le RGPD, cela ne saurait en revanche exonérer la société de son obligation de répondre aux demandes qui lui sont faites par courrier même si elles ne lui sont pas adressées par le canal prévu à cet effet, a fortiori lorsque, comme c’est le cas en l’espèce, le contenu de la demande est clair.
 
52. La formation restreinte relève que, même si la société indique avoir pris en compte les demandes des plaignants, mais ne pas les avoir satisfaites en raison d’erreurs humaines ou de problèmes techniques, ce n’est pas pour autant qu’elle y a apporté une réponse satisfaisante puisque les plaignants ont continué à recevoir des appels téléphoniques de prospection commerciale.
53. La formation restreinte note que les faits relevés par le rapporteur ne sont pas contestés par la société. Elle considère qu’un manquement aux obligations qui découlent de l’article 21 du RGPD est constitué dès lors que la société n’a pas pris en compte l’opposition des personnes concernées par le traitement de leurs données à caractère personnel. 
 
54. Elle relève que, dans le cadre de la présente procédure, la société a justifié avoir pris des mesures pour se mettre en conformité avec les obligations découlant de l’article 21 du RGPD.
 
55. Sur les mesures correctrices et leur publicité
 
Aux termes du III de l’article 20 de la loi du 6 janvier 1978 modifiée :
" Lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l'informatique et des libertés peut également, le cas échéant après lui avoir adressé l'avertissement prévu au I du présent article ou, le cas échéant en complément d'une mise en demeure prévue au II, saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l'une ou de plusieurs des mesures suivantes : (…) 7° À l'exception des cas où le traitement est mis en œuvre par l'État, une amende administrative ne pouvant excéder 10 millions d'euros ou, s'agissant d'une entreprise, 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l'article 83 du règlement (UE) 2016/679 du 27 avril 2016, ces plafonds sont portés, respectivement, à 20 millions d'euros et 4 % dudit chiffre d'affaires. La formation restreinte prend en compte, dans la détermination du montant de l'amende, les critères précisés au même article 83. "
 
Aux termes de l’article 83 du RGPD :
" 1. Chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour des violations du présent règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives. ", avant de préciser les éléments devant être pris en compte pour décider s'il y a lieu d'imposer une amende administrative et pour décider du montant de cette amende.
 
56. En premier lieu, sur le principe du prononcé d’une amende, la société soutient qu’une telle mesure n’est pas nécessaire et ne serait pas proportionnée au regard des faits qui lui sont reprochés.
 
57. La formation restreinte rappelle qu’elle doit tenir compte, pour le prononcé d’une amende administrative, des critères précisés à l’article 83 du RGPD, tels que la nature, la gravité et la durée de la violation, les mesures prises par le responsable du traitement pour atténuer le dommage subi par les personnes concernées, le degré de coopération avec l’autorité de contrôle et les catégories de données à caractère personnel concernées par la violation.
 
58. La formation restreinte considère d’abord que la société a fait preuve d’une négligence certaine s’agissant de principes fondamentaux du RGPD puisque cinq manquements sont constitués, portant notamment sur l’information et les droits des personnes. La formation restreinte ajoute que plusieurs manquements ont donné lieu à des plaintes.
59. La formation restreinte relève ensuite que la société est un acteur particulièrement important du secteur de la production et de la fourniture d’énergies puisqu’elle dénombrait, en 2021, environ 8 millions de clients et prospects, ce qui la classait au […] en France. Elle dispose donc de ressources importantes lui permettant de traiter les questions de protection des données personnelles. 
 
60. La formation restreinte observe également que la société a recours très largement à la prospection commerciale réalisée par voie téléphonique ou par courriels.
 
61. En conséquence, la formation restreinte considère qu’il y a lieu de prononcer une amende administrative au regard des manquements constitués à l’article L. 34-5 du CPCE et aux articles 12, 14, 15 et 21 du RGPD.
62. En deuxième lieu, s’agissant du montant de l’amende, la formation restreinte rappelle que les amendes administratives doivent être à la fois dissuasives et proportionnées. En l’espèce, la société a méconnu ses obligations résultant de l’article L. 34-5 du CPCE à l’égard des 4,6 millions de prospects, comptabilisés en septembre 2020, et pour lesquels une souscription, réalisée à partir du formulaire en ligne, était en cours. Outre les manquements liés à la prospection commerciale réalisée par la société qui ont été constatés dans le cadre du contrôle, la formation restreinte observe que les plaintes révélant l’existence de manquements apparaissent peu nombreuses – en effet, leur nombre, de dix-huit, doit être rapporté au nombre de clients et prospects d’environ 8 millions –, de sorte que ces manquements ne peuvent être regardés comme ayant un caractère systémique. 
 
63. La formation restreinte rappelle également que l’activité de la société et sa situation financière doivent être prises en compte pour la détermination de la sanction et notamment, en cas d’amende administrative, de son montant. Elle relève à ce titre que la société fait état d’un chiffre d’affaires de […] euros en 2020 pour un résultat net s’élevant à […] euros. 
 
64. La formation restreinte acte par ailleurs les efforts réalisés par la société pour se mettre en conformité tout au long de la procédure.