L’essentiel
La publicité est justifiée par la gravité d’un traitement de données incompatible avec sa finalité initiale, le volume important de personnes concernées et la nécessité de les informer d’un risque de prospection commerciale. Elle vise également à prévenir les professionnels d’une pratique déjà rappelée par les fédérations compétentes.
La mise en demeure ne constitue pas une sanction. Si l’organisme se conforme intégralement aux exigences dans le délai imparti, la procédure est clôturée et cette clôture est elle-même rendue publique.
En résumé
- Publicité de la mise en demeure décidée par le bureau de la CNIL
- Article 45 applicable à la mise en demeure et à sa publicité
- Incompatibilité entre finalité initiale et prospection commerciale
- Nombre important de personnes concernées renforçant la gravité
- Information des personnes exposées au démarchage commercial
- Clôture publique en cas de mise en conformité complète
Contexte de l’affaire
Le bureau de la CNIL a été convoqué afin de statuer sur la publicité de cette mise en demeure. Il a relevé que les données de bénéficiaires, détenues pour une mission d’intérêt général, étaient également utilisées à des fins de prospection commerciale.
Compte tenu de l’incompatibilité entre la finalité initiale et le traitement réalisé, du nombre important de personnes concernées et de la nécessité de les informer, le bureau a décidé de rendre publique la mise en demeure. Il a rappelé que celle-ci ne constitue pas une sanction et que sa clôture serait également publiée en cas de mise en conformité.
Conditions / critères (ce que le juge vérifie)
- Traitement de données personnelles incompatible avec la finalité initiale
- Utilisation des données à des fins de prospection commerciale
- Gravité particulière du manquement constaté
- Nombre très important de personnes concernées
- Nécessité d’informer les personnes susceptibles d’être démarchées
- Convocation régulière du bureau de la CNIL
Preuves retenues (ce qui a fait pencher la décision)
- Données détenues pour la gestion de la retraite complémentaire
- Utilisation constatée des données à des fins commerciales
- Nombre très important de personnes concernées
- Rappels antérieurs des fédérations AGIRC et ARRCO
Conséquences pratiques
- Publication de la mise en demeure concernant la société
- Cessation de la prospection fondée sur ces données
- Information des personnes susceptibles d’être démarchées
- Prévention des pratiques similaires dans le secteur
- Publication de la clôture en cas de conformité
Checklist pour Avocats
À faire
- Identifier la finalité initiale de chaque traitement
- Cesser la prospection commerciale fondée sur ces données
- Respecter le délai fixé par la mise en demeure
- Documenter intégralement la mise en conformité
- Informer les personnes exposées au démarchage
À éviter
- Réutiliser des données collectées pour une autre finalité
- Confondre mise en demeure et sanction
- Ignorer le nombre de personnes concernées
- Poursuivre la prospection pendant le délai imparti
- Négliger la publicité de la clôture éventuelle
FAQ / Q-R juridiques
La publicité d’une mise en demeure fondée sur l’article 45
La publicité peut être décidée par le bureau de la CNIL, après convocation régulière, sur le fondement du dernier alinéa du II de l’article 45 de la loi n° 78-17 du 6 janvier 1978 modifiée. Elle est justifiée lorsque la nature du manquement, le nombre de personnes concernées et l’information à leur délivrer le rendent nécessaire.
L’incompatibilité des finalités du traitement des données
Le manquement tient à l’utilisation, à des fins de prospection commerciale, de données détenues initialement pour la gestion de la retraite complémentaire. La CNIL qualifie cette utilisation de traitement incompatible avec la finalité initiale et de manquement particulièrement grave.
La distinction entre mise en demeure et sanction
La mise en demeure ne revêt pas le caractère d’une sanction. Aucune suite n’est donnée à la procédure si l’organisme respecte intégralement les exigences dans le délai imparti ; la clôture est alors rendue publique.
Textes cités
RGPD & protection des données
Approfondir ce sujet :