L’essentiel
L’article L. 34-5 du code des postes et des communications électroniques impose un consentement préalable, libre, spécifique, éclairé et univoque pour la prospection électronique. L’article 4, paragraphe 11, du RGPD exige une manifestation de volonté active et positive. Le responsable de traitement doit vérifier la validité du consentement recueilli par ses partenaires et disposer d’une base légale valable pour transmettre les données à d’autres acteurs. La transmission de prospects à des partenaires distincts constitue un traitement dont la licéité doit être démontrée ; l’intérêt légitime ne remplace pas le consentement exigé par l’article L. 34-5 du CPCE.
Au titre de l’article 5, paragraphe 1, e), du RGPD, la durée de conservation doit correspondre à la finalité poursuivie. L’ouverture d’un courriel, susceptible d’être accidentelle, ne constitue pas une interaction active permettant de prolonger indéfiniment la conservation. Les données devenues inactives doivent faire l’objet d’un tri, d’une suppression ou d’un archivage intermédiaire séparé de la base active.
L’article 32 du RGPD impose enfin des mesures de sécurité adaptées au risque. Le recours à l’algorithme MD5 pour les mots de passe est considéré comme obsolète et insuffisant au regard des exigences de confidentialité et d’intégrité.
En résumé
- Manquement retenu concernant le consentement et la transmission des prospects
- Responsabilité fondée sur la détermination effective des finalités et moyens
- Consentement spécifique, éclairé, univoque et exprimé par un acte positif
- Ouverture d’un courriel insuffisante pour prolonger la conservation
- Absence de tri et d’archivage intermédiaire des prospects inactifs
- Utilisation de MD5 incompatible avec une sécurité adaptée au risque
Contexte de l’affaire
À la suite d’un contrôle sur place réalisé en mai 2022, une procédure contradictoire a été engagée. La rapporteure a relevé plusieurs manquements relatifs à la qualification de responsable de traitement, au consentement, à la durée de conservation et à la sécurité des données.
La formation restreinte retient que CALOGA détermine les finalités et moyens de plusieurs traitements. Elle examine notamment la validité des consentements recueillis par les partenaires, la transmission des données à des fins de prospection, la conservation prolongée de prospects inactifs et l’utilisation de mots de passe protégés par MD5.
Conditions / critères (ce que le juge vérifie)
- Déterminer effectivement les finalités et les moyens du traitement
- Vérifier la validité du consentement recueilli par les partenaires
- Obtenir une manifestation de volonté libre, spécifique, éclairée et univoque
- Disposer d’une base légale valable pour transmettre les données
- Fixer une durée de conservation proportionnée à chaque finalité
- Supprimer, trier ou archiver les données devenues inutiles
- Mettre en œuvre une sécurité adaptée aux risques identifiés
Preuves retenues (ce qui a fait pencher la décision)
- Procès-verbaux des contrôles sur place des 11 et 12 mai 2022
- Contrats et modalités de collecte auprès des primo-collectants
- Organisation des quatre bases de données de prospects
- Règles internes fondées sur l’ouverture des courriels
- Conservation de plus de 13,5 millions d’adresses électroniques
- Stockage des mots de passe avec l’algorithme MD5
Conséquences pratiques
- Contrôler les formulaires et preuves de consentement des partenaires
- Documenter la qualification de chaque acteur de la chaîne
- Supprimer ou archiver les prospects devenus inactifs
- Écarter l’ouverture des courriels comme seul signal d’activité
- Remplacer MD5 par un mécanisme cryptographique robuste et salé
- Limiter les accès aux bases et individualiser les comptes
Checklist pour Avocats
À faire
- Auditer les formulaires de consentement des primo-collectants
- Documenter les finalités et moyens déterminés par chaque acteur
- Fixer des durées par finalité et par catégorie de données
- Mettre en place un archivage intermédiaire séparé
- Remplacer MD5 et tester régulièrement les mesures de sécurité
À éviter
- Assimiler une clause contractuelle à une qualification définitive
- Utiliser un consentement général pour plusieurs finalités
- Transmettre des prospects sans base légale démontrée
- Faire repartir la conservation après une simple ouverture
- Conserver toute une base active sans tri ni accès différencié
FAQ / Q-R juridiques
La qualification de responsable de traitement dans la prospection électronique
La qualification dépend des finalités et des moyens effectivement déterminés par l’acteur, notamment la propriété de la base, sa constitution, la segmentation et les modalités de conservation. Les stipulations contractuelles constituent un indice, mais ne sont pas déterminantes si elles ne correspondent pas à la réalité. CALOGA est regardée comme responsable pour la constitution de ses bases, les campagnes réalisées à partir de celles-ci et la transmission des données à des partenaires.
Le consentement préalable aux opérations de prospection électronique
L’article L. 34-5 du CPCE, combiné à l’article 4, paragraphe 11, du RGPD, exige un consentement libre, spécifique, éclairé et univoque, exprimé par un acte positif. Le responsable doit vérifier la validité du consentement recueilli par les primo-collectants. Un consentement général ou insuffisamment informé ne permet pas légalement la prospection ni la transmission des données à des partenaires.
La limitation de la durée de conservation des prospects
L’article 5, paragraphe 1, e), du RGPD impose une conservation limitée à la finalité poursuivie. La simple ouverture d’un courriel ne traduit pas nécessairement une volonté active de rester en contact et ne peut faire repartir le délai. Après l’inactivité, les données doivent être triées, supprimées ou archivées séparément, avec un accès limité aux personnes habilitées.
Textes cités
RGPD & protection des données
Approfondir ce sujet :