Publicité d’une mise en demeure CNIL pour utilisation commerciale de données de retraite

La publicité est justifiée par la gravité d’un traitement de données incompatible avec sa finalité initiale, le volume important de personnes concernées et la nécessité de les informer d’un risque de prospection commerciale. Elle vise également à prévenir les professionnels d’une pratique déjà rappelée par les fédérations compétentes.

La mise en demeure ne constitue pas une sanction. Si l’organisme se conforme intégralement aux exigences dans le délai imparti, la procédure est clôturée et cette clôture est elle-même rendue publique.

⬇️Télécharger la décision version officielle

Le bureau de la CNIL a été convoqué afin de statuer sur la publicité de cette mise en demeure. Il a relevé que les données de bénéficiaires, détenues pour une mission d’intérêt général, étaient également utilisées à des fins de prospection commerciale.

Compte tenu de l’incompatibilité entre la finalité initiale et le traitement réalisé, du nombre important de personnes concernées et de la nécessité de les informer, le bureau a décidé de rendre publique la mise en demeure. Il a rappelé que celle-ci ne constitue pas une sanction et que sa clôture serait également publiée en cas de mise en conformité.

• Traitement de données personnelles incompatible avec la finalité initiale
• Utilisation des données à des fins de prospection commerciale
• Gravité particulière du manquement constaté
• Nombre très important de personnes concernées
• Nécessité d’informer les personnes susceptibles d’être démarchées
• Convocation régulière du bureau de la CNIL

• Données détenues pour la gestion de la retraite complémentaire
• Utilisation constatée des données à des fins commerciales
• Nombre très important de personnes concernées
• Rappels antérieurs des fédérations AGIRC et ARRCO

• Publication de la mise en demeure concernant la société
• Cessation de la prospection fondée sur ces données
• Information des personnes susceptibles d’être démarchées
• Prévention des pratiques similaires dans le secteur
• Publication de la clôture en cas de conformité

À faire

• Identifier la finalité initiale de chaque traitement
• Cesser la prospection commerciale fondée sur ces données
• Respecter le délai fixé par la mise en demeure
• Documenter intégralement la mise en conformité
• Informer les personnes exposées au démarchage

À éviter

• Réutiliser des données collectées pour une autre finalité
• Confondre mise en demeure et sanction
• Ignorer le nombre de personnes concernées
• Poursuivre la prospection pendant le délai imparti
• Négliger la publicité de la clôture éventuelle

La publicité d’une mise en demeure fondée sur l’article 45

La publicité peut être décidée par le bureau de la CNIL, après convocation régulière, sur le fondement du dernier alinéa du II de l’article 45 de la loi n° 78-17 du 6 janvier 1978 modifiée. Elle est justifiée lorsque la nature du manquement, le nombre de personnes concernées et l’information à leur délivrer le rendent nécessaire.

L’incompatibilité des finalités du traitement des données

Le manquement tient à l’utilisation, à des fins de prospection commerciale, de données détenues initialement pour la gestion de la retraite complémentaire. La CNIL qualifie cette utilisation de traitement incompatible avec la finalité initiale et de manquement particulièrement grave.

La distinction entre mise en demeure et sanction

La mise en demeure ne revêt pas le caractère d’une sanction. Aucune suite n’est donnée à la procédure si l’organisme respecte intégralement les exigences dans le délai imparti ; la clôture est alors rendue publique.