Publicité d’une mise en demeure de la CNIL pour prospection commerciale de données de retraite

La publicité est justifiée lorsque le traitement est incompatible avec la finalité initiale des données. En l’espèce, des données détenues pour la gestion de la retraite complémentaire étaient utilisées à des fins de prospection commerciale. La gravité du manquement, le nombre très important de personnes concernées et la nécessité de les informer ont fondé la décision de publication.

La mise en demeure ne constitue pas une sanction. Si l’organisme se conforme intégralement aux exigences dans le délai imparti, la procédure est clôturée et cette clôture est également rendue publique. La décision poursuit aussi une fonction préventive à l’égard des professionnels du secteur.

⬇️Télécharger la décision version officielle

La présidente de la CNIL l’a mise en demeure de faire cesser ce manquement dans un délai d’un mois à compter de la notification. Elle a ensuite convoqué régulièrement le bureau afin qu’il statue sur la publicité de cette mise en demeure.

Le bureau a retenu l’incompatibilité du traitement avec la finalité initiale, la gravité de la pratique, le nombre très important de personnes concernées et la nécessité d’informer celles susceptibles d’être démarchées. Il a décidé de rendre publique la mise en demeure, tout en rappelant qu’elle ne constitue pas une sanction et qu’une exécution complète entraîne une clôture publique de la procédure.

• Manquement fondé sur l’article 45 de la loi n° 78-17
• Traitement de données incompatible avec la finalité initiale
• Utilisation commerciale de données détenues pour une mission d’intérêt général
• Gravité particulière du manquement constaté
• Nombre très important de personnes concernées
• Nécessité d’informer les personnes susceptibles d’être démarchées
• Convocation régulière du bureau de la CNIL

• Décision de mise en demeure du 25 septembre 2018
• Constat d’utilisation commerciale de données destinées à la retraite complémentaire
• Finalité initiale limitée à la gestion de la retraite complémentaire
• Nombre très important de personnes concernées
• Rappels antérieurs des fédérations AGIRC et ARRCO

• Cessation de la prospection commerciale fondée sur ces données
• Respect intégral des exigences dans le délai d’un mois
• Publication de la mise en demeure par la CNIL
• Information des personnes susceptibles d’être démarchées
• Clôture publique en cas de conformité complète

À faire

• Identifier les données utilisées à des fins commerciales
• Vérifier leur finalité initiale de collecte
• Cesser la prospection fondée sur ces données
• Répondre intégralement à la mise en demeure
• Respecter le délai d’un mois imparti

À éviter

• Réutiliser les données pour une finalité commerciale incompatible
• Maintenir les campagnes de démarchage concernées
• Négliger le nombre de personnes potentiellement touchées
• Confondre mise en demeure et sanction
• Omettre de documenter la mise en conformité

La publicité d’une mise en demeure fondée sur l’article 45

La présidente de la CNIL a convoqué régulièrement le bureau, conformément au dernier alinéa du II de l’article 45 de la loi n° 78-17 du 6 janvier 1978, afin qu’il statue sur la publicité de la mise en demeure. Le bureau a décidé cette publicité après délibération.

L’incompatibilité du traitement avec la finalité initiale

La société détenait les données pour la gestion de la retraite complémentaire, mais les utilisait également à des fins de prospection commerciale. Le bureau a qualifié cette utilisation de traitement incompatible avec la finalité initiale et de manquement particulièrement grave.

Les critères de publicité d’une mise en demeure

La publicité a été justifiée par la gravité du manquement, le nombre très important de personnes concernées, l’information des personnes susceptibles d’être démarchées et la prévention des pratiques similaires. La mise en demeure conserve toutefois un caractère non sanctionnateur.