La Commission nationale de l'informatique et des libertés, réunie en sa formation restreinte composée de M. Jean-François CARREZ, Président, M. Alexandre LINDEN, Vice-président, M. Sébastien HUYGUE et M. Maurice RONAI, membres ;
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2011-334 du 29 mars 2011, notamment ses articles 45 et suivants

Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n° 2007-451 du 25 mars 2007 ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la décision n°2012-022 du 19 juillet 2012 de la Présidente de la Commission nationale de l'informatique et des libertés de mettre en demeure la société PRISMA MEDIA ;
Vu la décision n°2014-058C du 24 février 2014 de la Présidente de la Commission nationale de l'informatique et des libertés ordonnant une mission de vérification auprès de la société PRISMA MEDIA ;
Vu la décision n°2014-053 du 13 octobre 2014 de la Présidente de la Commission nationale de l'informatique et des libertés de mettre en demeure la société PRISMA MEDIA ;
Vu la délibération n°2014-427 du 23 octobre 2014 du bureau de la Commission nationale de l'informatique et des libertés décidant de rendre publique la décision de mise en demeure n°2014-053 du 13 octobre 2014 ;
Vu la décision de la Présidente de la Commission nationale de l'informatique et des libertés portant désignation d'un rapporteur, en date du 15 décembre 2014 ;
Vu le rapport de M. François PELLEGRINI, commissaire rapporteur, remis à la société PRISMA MEDIA contre reçu le 16 janvier 2015 ;
Vu les observations écrites versées par la société PRISMA MEDIA le 16 février 2015, ainsi que les observations orales formulées lors de la séance de la formation restreinte ;
Vu les autres pièces du dossier.
Ayant entendu, lors de la séance de la formation restreinte du 26 février 2015,
-          M. François PELLEGRINI, commissaire, en son rapport ;
-          M. Jean-Alexandre SILVY, Commissaire du Gouvernement adjoint, en ses observations ;
-          M. x, de la société PRISMA MEDIA ;
-          M. y, de la société PRISMA MEDIA ;
-          MM. z et xx, avocats de la société PRISMA MEDIA et Mme yy, élève avocat.
La société PRISMA MEDIA ayant pris la parole en dernier ;
A adopté la décision suivante :
I.                   Faits et procédure
La société PRISMA MEDIA (ci-après  la société ), premier groupe de presse en France, a pour activité l'édition de revues et périodiques sous format papier et sur Internet. Elle édite 26 titres dont les magazines GEO, Femme Actuelle, Télé loisir, Capital et Gala. En 2012, elle a réalisé un chiffre d'affaires d'environ 450 millions d'euros. Son siège social est situé au 13 rue Henri Barbusse à Gennevilliers (92230).
Par décision n°2012-022 du 19 juillet 2012 de la Présidente de la Commission nationale de l'informatique et des libertés (ci-après la  CNIL   ou la  Commission ), la société a fait l'objet d'une procédure de mise en demeure aux termes de laquelle il lui était demandé de se conformer aux prescriptions de la loi du 6 janvier 1978 modifiée (ci-après loi  Informatique et Libertés ) s'agissant des traitements de données à caractère personnel relatives à ses prospects.
Après plusieurs échanges de courriers attestant d'une mise en conformité résultant, pour partie, d'engagements pris par la société, il a été décidé de la clôture en l'état de la procédure le 24 janvier 2013.
Par décision n° 2014-058C du 24 février  2014 de la Présidente de la CNIL, un nouveau contrôle a été opéré afin de vérifier le respect des termes de la mise en demeure précitée et de contrôler la régularité des traitements mis en œuvre par la société
Le 6 mars 2014, une délégation de la CNIL s'est rendue au siège de la société et a relevé, s'agissant des opérations de prospection commerciale par voie électronique, tant la persistance de certains manquements visés à la mise en demeure du 19 juillet 2012 que l'existence d'un nouveau manquement.
Par décision n°2014-053 du 13 octobre 2014, la Présidente de la CNIL a adopté une nouvelle mise en demeure, rendue publique par délibération n°2014-427 du 23 octobre 2014, notifiée à la société le 29 octobre suivant.
Celle-ci lui enjoignait, dans le délai d'un mois, d'adopter des mesures correctives destinées notamment à recueillir le consentement libre, spécifique et informé des personnes préalablement à l'envoi des lettres d'information, à informer les personnes concernées des traitements de données opérés, à assurer la sécurité et la confidentialité des données collectées et à respecter le droit d'opposition des personnes ne souhaitant plus recevoir de lettres d'information .
Par courrier du 1er décembre 2014, la société à apporté des éléments de réponse permettant de justifier d'une mise en conformité partielle avec les injonctions de la mise en demeure.
En raison de la persistance de certains manquements, la Présidente de la Commission a désigné M. François PELLEGRINI en qualité de rapporteur, le 15 décembre 2014, sur le fondement de l'article 46 de la loi du 6 janvier 1978.
A l'issue de son instruction, le rapporteur a notifié à la société, le 16 janvier 2015, un rapport détaillant les manquements à la loi  Informatique et Libertés  qu'il estimait constitués en l'espèce. Ce rapport proposait à la formation restreinte de la CNIL de prononcer une sanction pécuniaire de 70.000€, dont il sollicitait par ailleurs qu'elle soit rendue publique.
Etait également jointe au rapport une convocation à la séance de la formation restreinte du 26 février 2015 indiquant à l'organisme qu'il disposait d'un délai d'un mois pour communiquer ses observations écrites.
Le 16 février 2015, la société a produit des observations écrites sur le rapport, réitérées oralement lors de la séance de la formation restreinte du 26 février 2015.
II.                Motifs de la décision
1.      Sur le manquement à l'obligation de respecter les dispositions de l'article L.34-5 du Code des postes et des communications électroniques
L'article L. 34-5 du CPCE dispose qu' est interdite la prospection directe au moyen d'un automate d'appel, d'un télécopieur ou d'un courrier électronique utilisant, sous quelque forme que ce soit, les coordonnées d'une personne physique qui n'a pas exprimé son consentement préalable à recevoir des prospections directes par ce moyen. Pour l'application du présent article, on entend par consentement toute manifestation de volonté libre, spécifique et informée par laquelle une personne accepte que des données à caractère personnel la concernant soient utilisées à fin de prospection directe .
Il a été constaté que la société permet à un internaute de demander à recevoir, par voie de formulaire, la lettre d'information du titre du site qu'il consulte mais également celles des autres revues ou périodiques édités par la société en cochant la case :  oui, je souhaite recevoir les newsletters du groupe Prisma Media .
La Formation restreinte relève que le fait de cocher la case susmentionnée entraîne la réception de lettres d'information destinées notamment à promouvoir d'autres titres de la société ainsi que des biens ou services proposés par des tiers. Ainsi, en l'espèce si l'objet principal de la lettre d'information est de fournir un contenu d'information, elle a également vocation à titre accessoire à assurer une opération de prospection au sens de l'article L.34-5 précité. Il appartenait donc à la société de recueillir un consentement libre, spécifique et informé.
Cette dernière a été mise en demeure de faire apparaître la liste exhaustive des lettres d'information auxquelles l'internaute souscrit lorsqu'il coche la case générale précitée.
La Formation restreinte relève que la société n'a pas apporté d'élément de réponse sur ce point dans le délai qui lui était imparti par la mise en demeure et ce malgré le caractère précis de l'injonction qui lui a été adressée.
En défense, postérieurement au délai imparti dans la mise en demeure, la société a communiqué les formulaires d'inscription de plusieurs de ses lettres d'information, faisant désormais apparaître la liste exhaustive des lettres d'information auxquelles l'intéressé souscrit en cochant la case précitée, tout en indiquant qu'elle aurait, au stade de la mise en demeure, répondu à ce manquement conjointement avec celui visé à l'article 32 de la loi  Informatique et Libertés .
La Formation restreinte constate qu'aucune réponse au manquement à l'article L.34-5 précité n'a été apportée par la société dès lors que celle-ci ne peut se déduire de celle apportée au manquement à l'article 32 de la loi  Informatique et Libertés . En l'espèce, la société aurait  dû informer l'internaute sur le formulaire de l'intégralité des lettres d'information auxquelles il consent à s'inscrire. Or, la société ne justifie sur ce point que d'une mise en conformité partielle, postérieure au délai de conformité imparti par la mise en demeure.
En outre, la Formation restreinte rappelle que la société s'était déjà engagée, dans le cadre de la première procédure de mise en demeure, à remédier à cette défaillance en détaillant la liste des lettres d'information concernées par une souscription.
2.      Sur le manquement à l'obligation  d'informer les personnes
L'article 32 de la loi du 6 janvier 1978 modifiée dispose :  I.-La personne auprès de laquelle sont recueillies des données à caractère personnel la concernant est informée, sauf si elle l'a été au préalable, par le responsable du traitement ou son représentant :
1° De l'identité du responsable du traitement et, le cas échéant, de celle de son représentant ;
2° De la finalité poursuivie par le traitement auquel les données sont destinées ;
3° Du caractère obligatoire ou facultatif des réponses ;
4° Des conséquences éventuelles, à son égard, d'un défaut de réponse ;
5° Des destinataires ou catégories de destinataires des données ;
6° Des droits qu'elle tient des dispositions de la section 2 du présent chapitre ;
7° Le cas échéant, des transferts de données à caractère personnel envisagés à destination d'un Etat non membre de la Communauté européenne.
Lorsque de telles données sont recueillies par voie de questionnaires, ceux-ci doivent porter mention des prescriptions figurant aux 1°, 2°, 3° et 6°.
Dans le cadre de la mise en demeure, il a été enjoint à la société de faire apparaître sur ses formulaires d'inscription aux lettres d'information, une mention d'information complète au regard de l'article précité.
Dans son courrier de réponse, la société a communiqué la mention type intégrée sur les formulaires concernés qui ne précise toutefois pas aux internautes qu'ils peuvent s'opposer au traitement effectué.
En défense, la société indique qu'elle aurait respecté ses obligations en faisant mention, sur ses formulaires de collecte, des droits  d'accès, de modification, de rectification et de suppression  des données et en renvoyant, pour les modalités pratiques de mise en œuvre de ces droits, à un autre support intitulé charte pour la protection des données.
Sur ce point, la formation restreinte rappelle que le droit de s'opposer à figurer dans un traitement visé à l'article 38 de la loi Informatique et Libertés, qui consiste, en l'espèce, à ne pas recevoir de courriels de prospection de la part de la société, se distingue des droits d'accéder aux données détenues par le responsable de traitement, garanti par l'article 39 de la loi précitée, et de celui d'obtenir la modification ou la rectification des données visé à l'article 40.
Elle précise que la mention relative au droit d'opposition doit figurer, ainsi que le prescrit l'article 32 précité, sur le formulaire de collecte des données et non sur un autre support.
La formation restreinte relève également que le caractère non obligatoire de la collecte des données et le recueil du consentement des internautes à recevoir des lettres d'information est sans incidence sur l'obligation de la société d'informer la personne de son droit d'opposition qu'elle peut, le cas échéant, exercer a posteriori.
Dès lors, il est établi que le manquement est caractérisé en ce que la mention d'information présente sur les formulaires de collecte ne fait pas état du droit d'opposition.
Si la formation restreinte prend acte qu'à la date de la séance, la société s'est conformée à son obligation, elle relève toutefois que les correctifs ont été mis en œuvre postérieurement au délai imparti par la mise en demeure.
3.      Sur le manquement à l'obligation de respecter le droit d'opposition
L'article 38 de la loi du 6 janvier 1978 modifiée dispose que
Toute personne physique
a le droit de s'opposer, sans frais, à ce que les données la concernant soient utilisées à des fins de prospection, notamment commerciale, par le responsable actuel du traitement ou celui d'un traitement ultérieur .
A l'issue du contrôle sur place du 6 mars 2014, il a été constaté que certains internautes s'étant désabonnés des lettres d'information de la société via l'option
gérer mes abonnements
Mise en demeure de respecter de manière systématique le droit d'opposition des personnes, la société a indiqué que la procédure qu'elle mettait en œuvre était opérante et que les difficultés identifiées par la délégation de contrôle pouvaient correspondre aux situations d'internautes s'étant successivement désabonnés puis réabonnés aux lettres d'information ou ayant sollicité leur désabonnement depuis une adresse électronique invalide.
En défense, la société a maintenu cette argumentation tout en contestant la validité des constats opérés par la délégation de contrôle sur ses bases de données auprès de son prestataire technique.
Sur ce point, la formation restreinte considère que les constats opérés sont réguliers au regard de l'article 44 de la loi  Informatique et Libertés  dans la mesure où, d'une part, la délégation est autorisée à contrôler les traitements mis en œuvre par un prestataire pour le compte du responsable de traitement, et, d'autre part, la requête a porté sur la base de données de la société afin d'en extraire la liste des personnes ne possédant plus d'abonnement aux lettres d'information ou ayant demandé à ne plus recevoir de sollicitation qui a été annexée au procès-verbal de contrôle après prise d'empreinte numérique.
Sur le fond, la formation restreinte relève que la société a apporté des éléments d'explication sur les dysfonctionnements constatés lors du contrôle et considère qu'elle met en œuvre une procédure de gestion des désabonnements de nature à garantir une correcte prise en compte du droit d'opposition des personnes de sorte que le manquement n'est pas caractérisé.
4.      Sur le manquement à l'obligation de définir et de respecter une durée de conservation proportionnée à la finalité du traitement
L'article 6-5° de la loi du 6 janvier 1978 modifiée dispose que les données à caractère personnel
sont conservées sous une forme permettant l'identification des personnes concernées pendant une durée qui n'excède pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées .
Lors du contrôle sur place du 6 mars 2014, la société a indiqué que les données des internautes ayant souscrit à une lettre d'information sont supprimées par déclenchement manuel d'un script SQL, qui prévoit une anonymisation des données à l'expiration d'un délai de 760 jours d'inactivité (soit 2 ans et 30 jours). Elle a précisé que le point de départ de la durée de conservation est l'ouverture de la lettre d'information ou le clic sur un lien proposé dans cette lettre par les personnes concernées.
Dans le cadre de la mise en demeure, il a été enjoint à la société de se conformer à la norme simplifiée n° 48, en référence à laquelle elle a souscrit un engagement de conformité le 23 juillet 2011, et qui prévoit que
Les données à caractère personnel relatives à un prospect non client peuvent être conservées pendant un délai de trois ans à compter de leur collecte par le responsable de traitement ou du dernier contact émanant du prospect (demande de documentation par exemple)
En défense, la société a indiqué que, en ouvrant une lettre d'information, l'abonné effectue une action lui permettant de  consommer  le contenu de la lettre et donc d'être en contact avec l'éditeur du contenu. Elle considère a fortiori que le clic sur un lien hypertexte contenu dans la lettre d'information constitue un contact émanant de l'internaute.
La formation restreinte considère que le clic de l'abonné sur un lien hypertexte peut constituer un contact au sens de la norme simplifiée n° 48 dans la mesure où il manifeste sa volonté d'interagir avec la société. Elle estime toutefois que la simple ouverture de la lettre d'information, qui peut arriver par inadvertance, ne peut constituer le point de départ de la durée de conservation.
Dès lors, elle considère que le manquement à la durée de conservation est caractérisé.
III.             Sur la sanction et la publicité
Les manquements commis par la société ont persisté au-delà du délai imparti par la mise en demeure et n'ont été régularisés, pour partie, que dans le cadre de la présente procédure justifiant le fait que soit prononcée à son encontre une sanction.
En outre, la société ne pouvait ignorer ses obligations en sa qualité de responsable de traitement compte tenu de l'existence de procédures antérieures portant sur des manquements similaires.
La formation restreinte décide en conséquence de fixer le montant de la sanction à la somme de 15000 € et de rendre publique sa délibération.
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide :
-          De prononcer une sanction pécuniaire de 15.000 € à l'encontre de la société PRISMA MEDIA ;
-          De rendre publique sa délibération.
Le Président
Jean-François CARREZ
Cette décision peut faire l'objet d'un recours   devant le Conseil d'Etat dans un délai de deux mois à compter de sa   notification.