L’essentiel
L’utilisation, par un prospecteur, de données collectées par un partenaire suppose un consentement libre, spécifique, éclairé et univoque. Un accord de responsabilité conjointe ne dispense pas chaque société de vérifier la validité du consentement recueilli pour ses propres opérations. En l’absence d’identification claire du prospecteur et d’une information aisément accessible, le consentement ne peut fonder la prospection par voie électronique au regard de l’article L. 34-5 du code des postes et des communications électroniques.
La CNIL a retenu une négligence au sens de l’article 83, paragraphe 2, b), du RGPD, en tenant compte de la nature, de la portée, de la durée des manquements, des catégories de données concernées et du nombre de personnes exposées. Une amende administrative de 250 000 euros et une publication limitée dans le temps ont été prononcées sur le fondement de l’article 20 de la loi du 6 janvier 1978 et de l’article 83 du RGPD.
En résumé
- Amende administrative de 250 000 euros prononcée pour plusieurs manquements RGPD et CPCE
- Enregistrement systématique jugé excessif au regard du principe de minimisation
- Consentement partenaire insuffisamment éclairé pour la prospection électronique
- Formulaires ne permettant pas une identification claire des prospecteurs
- Contrôles et bases de données établissant l’ampleur des traitements
- Mise en conformité ultérieure sans effet rétroactif sur les manquements
Contexte de l’affaire
Elle mène également des campagnes de prospection par courriels et SMS à partir de bases de données propres ou communes avec une société partenaire. Le consentement recueilli par cette dernière mentionnait les partenaires de manière générale, sans identifier clairement le prospecteur ni rendre l’information facilement accessible.
Après plusieurs contrôles, la CNIL a relevé des manquements relatifs à la minimisation des données, à leur durée de conservation, au traitement de données sensibles et au consentement requis pour la prospection électronique.
Conditions / critères (ce que le juge vérifie)
- Identifier chaque opération d’enregistrement comme un traitement de données personnelles
- Vérifier l’adéquation des données aux finalités poursuivies
- Privilégier un enregistrement ponctuel et aléatoire pour le contrôle qualité
- Obtenir un consentement libre, spécifique, éclairé et univoque
- Identifier clairement chaque prospecteur dans le formulaire de consentement
- Rendre les informations relatives aux partenaires immédiatement accessibles
- Apprécier la sanction selon les critères de l’article 83 du RGPD
Preuves retenues (ce qui a fait pencher la décision)
- Procès-verbaux des contrôles en ligne et sur place
- Éléments relatifs aux enregistrements et à leurs durées de conservation
- Formulaires de consentement examinés lors des contrôles en ligne
- Bases de données communes et statistiques de prospection communiquées
- Observations écrites et pièces transmises par la société
Conséquences pratiques
- Limiter les enregistrements aux séquences nécessaires et pertinentes
- Documenter la nécessité et la durée de conservation des fichiers
- Identifier explicitement chaque partenaire prospecteur dans les formulaires
- Rendre les informations sur les destinataires visibles et accessibles
- Conserver les éléments démontrant la validité du consentement
- Anticiper l’impact financier et réputationnel d’une sanction publiée
Checklist pour Avocats
À faire
- Cartographier chaque finalité d’enregistrement téléphonique
- Mettre en place un échantillonnage aléatoire des appels
- Fixer une durée de conservation documentée et proportionnée
- Identifier clairement tous les partenaires dans les formulaires
- Archiver la preuve du consentement éclairé et spécifique
À éviter
- Enregistrer systématiquement l’intégralité des conversations
- Compter sur une suppression ultérieure pour justifier la collecte
- Utiliser une case unique visant des partenaires non identifiés
- Placer les informations essentielles dans une note peu visible
- Prospecter sans vérifier le consentement propre à chaque société
FAQ / Q-R juridiques
Le principe de minimisation des enregistrements téléphoniques
L’enregistrement d’une conversation est un traitement de données au sens de l’article 4, paragraphe 2, du RGPD. La formation restreinte a jugé excessif l’enregistrement intégral et systématique des appels pour la formation et le contrôle qualité, ces finalités pouvant être atteintes par des enregistrements ponctuels et aléatoires. La suppression ultérieure d’une partie des fichiers ne neutralise pas le traitement initial.
Le consentement éclairé pour la prospection électronique
L’article L. 34-5 du code des postes et des communications électroniques exige un consentement valide lorsque les données ne sont pas recueillies directement par le prospecteur. Un accord de responsabilité conjointe ne dispense pas chaque société de disposer d’un consentement propre à ses opérations. L’identification imprécise des partenaires et l’accessibilité insuffisante de l’information ont privé le consentement de son caractère éclairé.
Les critères de l’amende administrative
La formation restreinte a retenu une négligence au regard de l’article 83, paragraphe 2, du RGPD. Elle a pris en compte la nature, la gravité, la durée, la portée des traitements, les catégories de données, le nombre de personnes concernées, la situation financière et la coopération de la société. Une amende de 250 000 euros a été prononcée sur le fondement de l’article 20 de la loi du 6 janvier 1978 et de l’article 83 du RGPD.
Textes cités
RGPD & protection des données
Approfondir ce sujet :