Protection des données : enregistrements téléphoniques excessifs et consentement invalide pour la prospection

La formation restreinte rappelle que l’enregistrement d’une conversation constitue un traitement de données à caractère personnel au sens de l’article 4, paragraphe 2, du RGPD. L’enregistrement intégral et systématique des appels a été jugé excessif au regard des finalités de formation et de contrôle qualité, qui pouvaient être atteintes par des enregistrements ponctuels et aléatoires, conformément au principe de minimisation de l’article 5, paragraphe 1, c), du RGPD. La suppression ultérieure d’une partie des enregistrements ne remet pas en cause la qualification de traitement.

L’utilisation, par un prospecteur, de données collectées par un partenaire suppose un consentement libre, spécifique, éclairé et univoque. Un accord de responsabilité conjointe ne dispense pas chaque société de vérifier la validité du consentement recueilli pour ses propres opérations. En l’absence d’identification claire du prospecteur et d’une information aisément accessible, le consentement ne peut fonder la prospection par voie électronique au regard de l’article L. 34-5 du code des postes et des communications électroniques.

La CNIL a retenu une négligence au sens de l’article 83, paragraphe 2, b), du RGPD, en tenant compte de la nature, de la portée, de la durée des manquements, des catégories de données concernées et du nombre de personnes exposées. Une amende administrative de 250 000 euros et une publication limitée dans le temps ont été prononcées sur le fondement de l’article 20 de la loi du 6 janvier 1978 et de l’article 83 du RGPD.

⬇️Télécharger la décision version officielle

Une société proposant des consultations de voyance enregistrait certaines conversations entre clients, voyants et standardistes, puis conservait des enregistrements à diverses fins. Elle réalisait aussi des campagnes de prospection par courriels et SMS à partir de bases propres ou partagées avec un partenaire. La CNIL a relevé des manquements concernant la minimisation, la durée de conservation, le traitement de données sensibles et le consentement exigé pour la prospection électronique.

La société propose des consultations de voyance à distance par téléphone, sites internet et applications mobiles. Elle enregistre intégralement certaines conversations entre clients, voyants et standardistes, puis conserve une partie des enregistrements pendant plusieurs mois à des fins de formation, de contrôle qualité ou de gestion des contestations.

Elle mène également des campagnes de prospection par courriels et SMS à partir de bases de données propres ou communes avec une société partenaire. Le consentement recueilli par cette dernière mentionnait les partenaires de manière générale, sans identifier clairement le prospecteur ni rendre l’information facilement accessible.

Après plusieurs contrôles, la CNIL a relevé des manquements relatifs à la minimisation des données, à leur durée de conservation, au traitement de données sensibles et au consentement requis pour la prospection électronique.

• Identifier chaque opération d’enregistrement comme un traitement de données personnelles
• Vérifier l’adéquation des données aux finalités poursuivies
• Privilégier un enregistrement ponctuel et aléatoire pour le contrôle qualité
• Obtenir un consentement libre, spécifique, éclairé et univoque
• Identifier clairement chaque prospecteur dans le formulaire de consentement
• Rendre les informations relatives aux partenaires immédiatement accessibles
• Apprécier la sanction selon les critères de l’article 83 du RGPD

• Procès-verbaux des contrôles en ligne et sur place
• Éléments relatifs aux enregistrements et à leurs durées de conservation
• Formulaires de consentement examinés lors des contrôles en ligne
• Bases de données communes et statistiques de prospection communiquées
• Observations écrites et pièces transmises par la société

La société supporte une amende administrative de 250 000 euros et la publicité de la sanction pendant deux ans sous son identité. Elle doit adapter ses dispositifs d’enregistrement et ses formulaires de prospection, tandis que les personnes concernées disposent d’une information renforcée sur l’utilisation de leurs données.

• Limiter les enregistrements aux séquences nécessaires et pertinentes
• Documenter la nécessité et la durée de conservation des fichiers
• Identifier explicitement chaque partenaire prospecteur dans les formulaires
• Rendre les informations sur les destinataires visibles et accessibles
• Conserver les éléments démontrant la validité du consentement
• Anticiper l’impact financier et réputationnel d’une sanction publiée

À faire

• Cartographier chaque finalité d’enregistrement téléphonique
• Mettre en place un échantillonnage aléatoire des appels
• Fixer une durée de conservation documentée et proportionnée
• Identifier clairement tous les partenaires dans les formulaires
• Archiver la preuve du consentement éclairé et spécifique

À éviter

• Enregistrer systématiquement l’intégralité des conversations
• Compter sur une suppression ultérieure pour justifier la collecte
• Utiliser une case unique visant des partenaires non identifiés
• Placer les informations essentielles dans une note peu visible
• Prospecter sans vérifier le consentement propre à chaque société

Le principe de minimisation des enregistrements téléphoniques

L’enregistrement d’une conversation est un traitement de données au sens de l’article 4, paragraphe 2, du RGPD. La formation restreinte a jugé excessif l’enregistrement intégral et systématique des appels pour la formation et le contrôle qualité, ces finalités pouvant être atteintes par des enregistrements ponctuels et aléatoires. La suppression ultérieure d’une partie des fichiers ne neutralise pas le traitement initial.

Le consentement éclairé pour la prospection électronique

L’article L. 34-5 du code des postes et des communications électroniques exige un consentement valide lorsque les données ne sont pas recueillies directement par le prospecteur. Un accord de responsabilité conjointe ne dispense pas chaque société de disposer d’un consentement propre à ses opérations. L’identification imprécise des partenaires et l’accessibilité insuffisante de l’information ont privé le consentement de son caractère éclairé.

Les critères de l’amende administrative

La formation restreinte a retenu une négligence au regard de l’article 83, paragraphe 2, du RGPD. Elle a pris en compte la nature, la gravité, la durée, la portée des traitements, les catégories de données, le nombre de personnes concernées, la situation financière et la coopération de la société. Une amende de 250 000 euros a été prononcée sur le fondement de l’article 20 de la loi du 6 janvier 1978 et de l’article 83 du RGPD.

Article 4, paragraphe 2, du règlement (UE) 2016/679, Article 4, paragraphe 11, du règlement (UE) 2016/679, Article 4, paragraphe 23, b), du règlement (UE) 2016/679, Article 5, paragraphe 1, c), du règlement (UE) 2016/679, Article 5, paragraphe 1, e), du règlement (UE) 2016/679, Article 9, paragraphe 2, du règlement (UE) 2016/679, Article 56 du règlement (UE) 2016/679, Article 60, paragraphes 3 et 6, du règlement (UE) 2016/679, Article 83 du règlement (UE) 2016/679, Article 20 de la loi n° 78-17 du 6 janvier 1978, Article 20, paragraphe IV, de la loi n° 78-17 du 6 janvier 1978, Article 22 de la loi n° 78-17 du 6 janvier 1978, Article L. 34-5 du code des postes et des communications électroniques, Article 39 du décret n° 2019-536 du 29 mai 2019, Article 40, paragraphe III, du décret n° 2019-536 du 29 mai 2019