Prospection électronique : responsabilité du courtier de données, consentement et durée de conservation

La formation restreinte retient la qualité de responsable de traitement au regard des critères de l’article 4, points 2 et 7, du RGPD. Cette qualification dépend notamment de la propriété de la base, de sa constitution, des choix de segmentation et de la détermination des moyens essentiels, indépendamment de la qualification contractuelle retenue par les acteurs.

L’article L. 34-5 du code des postes et des communications électroniques impose un consentement préalable, libre, spécifique, éclairé et univoque pour la prospection électronique. L’article 4, paragraphe 11, du RGPD exige une manifestation de volonté active et positive. Le responsable de traitement doit vérifier la validité du consentement recueilli par ses partenaires et disposer d’une base légale valable pour transmettre les données à d’autres acteurs. La transmission de prospects à des partenaires distincts constitue un traitement dont la licéité doit être démontrée ; l’intérêt légitime ne remplace pas le consentement exigé par l’article L. 34-5 du CPCE.

Au titre de l’article 5, paragraphe 1, e), du RGPD, la durée de conservation doit correspondre à la finalité poursuivie. L’ouverture d’un courriel, susceptible d’être accidentelle, ne constitue pas une interaction active permettant de prolonger indéfiniment la conservation. Les données devenues inactives doivent faire l’objet d’un tri, d’une suppression ou d’un archivage intermédiaire séparé de la base active.

L’article 32 du RGPD impose enfin des mesures de sécurité adaptées au risque. Le recours à l’algorithme MD5 pour les mots de passe est considéré comme obsolète et insuffisant au regard des exigences de confidentialité et d’intégrité.

⬇️Télécharger la décision version officielle

CALOGA collectait des données auprès de partenaires, notamment dans le cadre de jeux-concours, afin de mener des campagnes de prospection ou de transmettre les informations à d’autres acteurs. Après un contrôle, la CNIL a examiné sa qualité de responsable de traitement, la validité des consentements, les durées de conservation et la sécurité. Elle a notamment relevé la conservation prolongée de prospects inactifs et l’utilisation de mots de passe protégés par l’algorithme MD5.

CALOGA exerçait des activités de prospection commerciale électronique pour des annonceurs et de courtage en données. Elle constituait plusieurs bases à partir de données collectées par des partenaires organisant notamment des jeux-concours, puis utilisait ces bases pour ses propres campagnes ou les transmettait à d’autres acteurs.

À la suite d’un contrôle sur place réalisé en mai 2022, une procédure contradictoire a été engagée. La rapporteure a relevé plusieurs manquements relatifs à la qualification de responsable de traitement, au consentement, à la durée de conservation et à la sécurité des données.

La formation restreinte retient que CALOGA détermine les finalités et moyens de plusieurs traitements. Elle examine notamment la validité des consentements recueillis par les partenaires, la transmission des données à des fins de prospection, la conservation prolongée de prospects inactifs et l’utilisation de mots de passe protégés par MD5.

• Déterminer effectivement les finalités et les moyens du traitement
• Vérifier la validité du consentement recueilli par les partenaires
• Obtenir une manifestation de volonté libre, spécifique, éclairée et univoque
• Disposer d’une base légale valable pour transmettre les données
• Fixer une durée de conservation proportionnée à chaque finalité
• Supprimer, trier ou archiver les données devenues inutiles
• Mettre en œuvre une sécurité adaptée aux risques identifiés

• Procès-verbaux des contrôles sur place des 11 et 12 mai 2022
• Contrats et modalités de collecte auprès des primo-collectants
• Organisation des quatre bases de données de prospects
• Règles internes fondées sur l’ouverture des courriels
• Conservation de plus de 13,5 millions d’adresses électroniques
• Stockage des mots de passe avec l’algorithme MD5

Le responsable de traitement doit revoir la chaîne de collecte, de prospection et de transmission afin de démontrer la licéité des traitements. Les pratiques de conservation et de sécurité exposent l’organisme à des manquements distincts lorsque les données restent en base active ou que les mots de passe reposent sur un algorithme obsolète.

• Contrôler les formulaires et preuves de consentement des partenaires
• Documenter la qualification de chaque acteur de la chaîne
• Supprimer ou archiver les prospects devenus inactifs
• Écarter l’ouverture des courriels comme seul signal d’activité
• Remplacer MD5 par un mécanisme cryptographique robuste et salé
• Limiter les accès aux bases et individualiser les comptes

À faire

• Auditer les formulaires de consentement des primo-collectants
• Documenter les finalités et moyens déterminés par chaque acteur
• Fixer des durées par finalité et par catégorie de données
• Mettre en place un archivage intermédiaire séparé
• Remplacer MD5 et tester régulièrement les mesures de sécurité

À éviter

• Assimiler une clause contractuelle à une qualification définitive
• Utiliser un consentement général pour plusieurs finalités
• Transmettre des prospects sans base légale démontrée
• Faire repartir la conservation après une simple ouverture
• Conserver toute une base active sans tri ni accès différencié

La qualification de responsable de traitement dans la prospection électronique

La qualification dépend des finalités et des moyens effectivement déterminés par l’acteur, notamment la propriété de la base, sa constitution, la segmentation et les modalités de conservation. Les stipulations contractuelles constituent un indice, mais ne sont pas déterminantes si elles ne correspondent pas à la réalité. CALOGA est regardée comme responsable pour la constitution de ses bases, les campagnes réalisées à partir de celles-ci et la transmission des données à des partenaires.

Le consentement préalable aux opérations de prospection électronique

L’article L. 34-5 du CPCE, combiné à l’article 4, paragraphe 11, du RGPD, exige un consentement libre, spécifique, éclairé et univoque, exprimé par un acte positif. Le responsable doit vérifier la validité du consentement recueilli par les primo-collectants. Un consentement général ou insuffisamment informé ne permet pas légalement la prospection ni la transmission des données à des partenaires.

La limitation de la durée de conservation des prospects

L’article 5, paragraphe 1, e), du RGPD impose une conservation limitée à la finalité poursuivie. La simple ouverture d’un courriel ne traduit pas nécessairement une volonté active de rester en contact et ne peut faire repartir le délai. Après l’inactivité, les données doivent être triées, supprimées ou archivées séparément, avec un accès limité aux personnes habilitées.

Article 4, points 2, 7 et paragraphe 11, du règlement (UE) 2016/679 (RGPD), Article 5, paragraphe 1, e), du règlement (UE) 2016/679 (RGPD), Article 6 du règlement (UE) 2016/679 (RGPD), Article 32 du règlement (UE) 2016/679 (RGPD), Article L. 34-5 du Code des postes et des communications électroniques, Articles 20 et suivants de la loi n° 78-17 du 6 janvier 1978, Article 22 de la loi n° 78-17 du 6 janvier 1978, Article 8, paragraphe 2, b), de la loi n° 78-17 du 6 janvier 1978, Articles 226-16 et 133-3 du Code pénal