L’essentiel
La publicité est justifiée par la gravité d’un traitement incompatible avec sa finalité initiale, le volume très important de personnes concernées et la nécessité de les informer d’un risque de prospection commerciale. Elle vise également à prévenir les professionnels du secteur, alors que cette pratique avait déjà fait l’objet de rappels par les fédérations compétentes.
La mise en demeure ne constitue pas une sanction. Si l’organisme respecte intégralement les exigences dans le délai imparti, la procédure est clôturée et cette clôture est elle-même rendue publique.
En résumé
- Publicité de la mise en demeure décidée par le bureau de la CNIL
- Article 45 de la loi n° 78-17 applicable
- Utilisation commerciale incompatible avec la finalité initiale
- Nombre très important de personnes concernées déterminant
- Information des personnes et prévention professionnelle recherchées
- Conformité dans le délai entraînant la clôture publique
Contexte de l’affaire
La présidente de la CNIL l’a mis en demeure de faire cesser cette pratique dans un délai d’un mois, sur le fondement de l’article 45 de la loi n° 78-17 du 6 janvier 1978.
Le bureau de la CNIL, convoqué pour statuer sur la publicité de cette mise en demeure, a relevé l’incompatibilité entre la finalité initiale des traitements et l’utilisation commerciale, le nombre très important de personnes concernées ainsi que la nécessité de les informer. Il a décidé de rendre la mise en demeure publique, en rappelant qu’elle ne constituait pas une sanction et qu’une conformité complète entraînerait la clôture de la procédure.
Conditions / critères (ce que le juge vérifie)
- Établir une utilisation des données incompatible avec leur finalité initiale
- Caractériser la gravité particulière du manquement constaté
- Prendre en compte le nombre très important de personnes concernées
- Informer les personnes exposées à une prospection commerciale
- Prévenir les professionnels du secteur concerné
- Respecter la procédure de convocation du bureau prévue par l’article 45
Preuves retenues (ce qui a fait pencher la décision)
- Décision de mise en demeure fondée sur l’article 45
- Constat de l’utilisation commerciale de données de retraite complémentaire
- Finalité initiale limitée à la gestion de la retraite complémentaire
- Nombre très important de personnes concernées
- Rappels antérieurs des fédérations AGIRC et ARRCO
Conséquences pratiques
- Cesser la prospection fondée sur les données concernées
- Respecter toutes les exigences dans le délai d’un mois
- Informer les personnes exposées au démarchage commercial
- Anticiper la publicité de la mise en demeure
- Documenter la conformité pour obtenir la clôture
Checklist pour Avocats
À faire
- Identifier les traitements utilisés à des fins commerciales
- Comparer chaque usage avec la finalité initiale
- Cesser la prospection fondée sur les données concernées
- Respecter le délai d’un mois fixé
- Documenter la conformité aux exigences de la mise en demeure
À éviter
- Réutiliser les données de retraite à des fins commerciales
- Confondre mission d’intérêt général et prospection commerciale
- Négliger le nombre de personnes concernées
- Ignorer les rappels professionnels antérieurs
- Présenter la mise en demeure comme une sanction
FAQ / Q-R juridiques
La compatibilité des traitements avec leur finalité initiale
Le bureau qualifie de particulièrement grave l’utilisation, à des fins de prospection commerciale, de données détenues pour la seule gestion de la retraite complémentaire. Cette utilisation est considérée comme incompatible avec la finalité initiale du traitement.
Les critères de publicité d’une mise en demeure
La publicité est justifiée par la gravité du manquement, le nombre très important de personnes concernées et la nécessité de les informer d’un risque de démarchage commercial. Elle répond également à un objectif de prévention des professionnels du secteur.
La nature non répressive de la mise en demeure
La mise en demeure fondée sur l’article 45 de la loi n° 78-17 ne constitue pas une sanction. Aucune suite n’est donnée si l’organisme respecte intégralement les exigences dans le délai imparti ; la clôture est alors rendue publique.
Textes cités
RGPD & protection des données
Approfondir ce sujet :