Délibération de la formation restreinte n° 2015-155 du 01 juin 2015 prononçant une sanction pécuniaire à l’encontre de la société X

La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M.

Jean-François CARREZ, Président, M. Alexandre LINDEN, Vice-président, M. Sébastien HUYGUE et M. Maurice RONAI,

membres ;

Vu la Convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du

traitement automatisé des données à caractère personnel ;

Vu la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifiée par la loi

n° 2011-334 du 29 mars 2011, notamment ses articles 45 et suivants ;

Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978

relative à l’informatique, aux fichiers et aux libertés, modifié par le décret n° 2007-451 du 25 mars 2007 ;

Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission

nationale de l’informatique et des libertés ;

Vu la décision n°2012-022 du 19 juillet 2012 de la Présidente de la Commission nationale de l’informatique et des

libertés de mettre en demeure la société X ;

Vu la décision n°2014-058C du 24 février 2014 de la Présidente de la Commission nationale de l’informatique et

des libertés ordonnant une mission de vérification auprès de la société X ;

Vu la décision n°2014-053 du 13 octobre 2014 de la Présidente de la Commission nationale de l’informatique et des

libertés de mettre en demeure la société X ;

Vu la délibération n°2014-427 du 23 octobre 2014 du bureau de la Commission nationale de l’informatique et des

libertés décidant de rendre publique la décision de mise en demeure n°2014-053 du 13 octobre 2014 ;

Vu la décision de la Présidente de la Commission nationale de l’informatique et des libertés portant désignation

d’un rapporteur, en date du 15 décembre 2014 ;

Vu le rapport de M. François PELLEGRINI, commissaire rapporteur, remis à la société X contre reçu le 16 janvier

2015 ;

Vu les observations écrites versées par la société X le 16 février 2015, ainsi que les observations orales

formulées lors de la séance de la formation restreinte ;

Vu les autres pièces du dossier.

Ayant entendu, lors de la séance de la formation restreinte du 26 février 2015 :

M. François PELLEGRINI, commissaire, en son rapport ;

M. Jean-Alexandre SILVY, Commissaire du Gouvernement adjoint, en ses observations ;

M. A, […] de la société X ;

M. B, […] de la société X ;

MM. C et D, avocats de la société X et Mme E, élève avocat.

La société X ayant pris la parole en dernier ;

A adopté la décision suivante :

Faits et procédure

La société X (ci-après la société ), premier groupe de presse en France, a pour activité l’édition de revues et

périodiques sous format papier et sur Internet. Elle édite 26 titres dont les magazines […]. En 2012, elle a

réalisé un chiffre d’affaires d’environ 450 millions d’euros. Son siège social est situé […].

Par décision n°2012-022 du 19 juillet 2012 de la Présidente de la Commission nationale de l’informatique et des

libertés (ci-après la CNIL ou la Commission ), la société a fait l’objet d’une procédure de mise en demeure aux

termes de laquelle il lui était demandé de se conformer aux prescriptions de la loi du 6 janvier 1978 modifiée

(ci-après loi Informatique et Libertés ) s’agissant des traitements de données à caractère personnel relatives à

ses prospects.

Après plusieurs échanges de courriers attestant d’une mise en conformité résultant, pour partie, d’engagements

pris par la société, il a été décidé de la clôture en l’état de la procédure le 24 janvier 2013.

Par décision n° 2014-058C du 24 février 2014 de la Présidente de la CNIL, un nouveau contrôle a été opéré afin de

vérifier le respect des termes de la mise en demeure précitée et de contrôler la régularité des traitements mis

en œuvre par la société

Le 6 mars 2014, une délégation de la CNIL s’est rendue au siège de la société et a relevé, s’agissant des

opérations de prospection commerciale par voie électronique, tant la persistance de certains manquements visés à

la mise en demeure du 19 juillet 2012 que l’existence d’un nouveau manquement.

Par décision n°2014-053 du 13 octobre 2014, la Présidente de la CNIL a adopté une nouvelle mise en demeure,

rendue publique par délibération n°2014-427 du 23 octobre 2014, notifiée à la société le 29 octobre suivant.

Celle-ci lui enjoignait, dans le délai d’un mois, d’adopter des mesures correctives destinées notamment à

recueillir le consentement libre, spécifique et informé des personnes préalablement à l’envoi des lettres

d’information, à informer les personnes concernées des traitements de données opérés, à assurer la sécurité et

la confidentialité des données collectées et à respecter le droit d’opposition des personnes ne souhaitant plus

recevoir de lettres d’information .

Par courrier du 1er décembre 2014, la société a apporté des éléments de réponse permettant de justifier d’une

mise en conformité partielle avec les injonctions de la mise en demeure.

En raison de la persistance de certains manquements, la Présidente de la Commission a désigné M. François

PELLEGRINI en qualité de rapporteur, le 15 décembre 2014, sur le fondement de l’article 46 de la loi du 6

janvier 1978.

A l’issue de son instruction, le rapporteur a notifié à la société, le 16 janvier 2015, un rapport détaillant les

manquements à la loi Informatique et Libertés qu’il estimait constitués en l’espèce. Ce rapport proposait à la

formation restreinte de la CNIL de prononcer une sanction pécuniaire de 70.000€, dont il sollicitait par

ailleurs qu’elle soit rendue publique.

Etait également jointe au rapport une convocation à la séance de la formation restreinte du 26 février 2015

indiquant à l’organisme qu’il disposait d’un délai d’un mois pour communiquer ses observations écrites.

Le 16 février 2015, la société a produit des observations écrites sur le rapport, réitérées oralement lors de la

séance de la formation restreinte du 26 février 2015.

Motifs de la décision

Sur le manquement à l’obligation de respecter les dispositions de l’article L.34-5 du Code des postes et des

communications électroniques

L’article L. 34-5 du CPCE dispose qu’ est interdite la prospection directe au moyen d’un automate d’appel, d’un

télécopieur ou d’un courrier électronique utilisant, sous quelque forme que ce soit, les coordonnées d’une

personne physique qui n’a pas exprimé son consentement préalable à recevoir des prospections directes par ce

moyen. Pour l’application du présent article, on entend par consentement toute manifestation de volonté libre,

spécifique et informée par laquelle une personne accepte que des données à caractère personnel la concernant

soient utilisées à fin de prospection directe .

Il a été constaté que la société permet à un internaute de demander à recevoir, par voie de formulaire, la lettre

d’information du titre du site qu’il consulte mais également celles des autres revues ou périodiques édités par

la société en cochant la case : oui, je souhaite recevoir les newsletters du groupe X .

La Formation restreinte relève que le fait de cocher la case susmentionnée entraîne la réception de lettres

d’information destinées notamment à promouvoir d’autres titres de la société ainsi que des biens ou services

proposés par des tiers. Ainsi, en l’espèce si l’objet principal de la lettre d’information est de fournir un

contenu d’information, elle a également vocation à titre accessoire à assurer une opération de prospection au

sens de l’article L.34-5 précité. Il appartenait donc à la société de recueillir un consentement libre,

spécifique et informé.

Cette dernière a été mise en demeure de faire apparaître la liste exhaustive des lettres d’information auxquelles

l’internaute souscrit lorsqu’il coche la case générale précitée.

La Formation restreinte relève que la société n’a pas apporté d’élément de réponse sur ce point dans le délai qui

lui était imparti par la mise en demeure et ce malgré le caractère précis de l’injonction qui lui a été

adressée.

En défense, postérieurement au délai imparti dans la mise en demeure, la société a communiqué les formulaires

d’inscription de plusieurs de ses lettres d’information, faisant désormais apparaître la liste exhaustive des

lettres d’information auxquelles l’intéressé souscrit en cochant la case précitée, tout en indiquant qu’elle

aurait, au stade de la mise en demeure, répondu à ce manquement conjointement avec celui visé à l’article 32 de

la loi Informatique et Libertés .

La Formation restreinte constate qu’aucune réponse au manquement à l’article L.34-5 précité n’a été apportée par

la société dès lors que celle-ci ne peut se déduire de celle apportée au manquement à l’article 32 de la loi

Informatique et Libertés . En l’espèce, la société aurait dû informer l’internaute sur le formulaire de

l’intégralité des lettres d’information auxquelles il consent à s’inscrire. Or, la société ne justifie sur ce

point que d’une mise en conformité partielle, postérieure au délai de conformité imparti par la mise en demeure.

En outre, la Formation restreinte rappelle que la société s’était déjà engagée, dans le cadre de la première

procédure de mise en demeure, à remédier à cette défaillance en détaillant la liste des lettres d’information

concernées par une souscription.

Sur le manquement à l’obligation d’informer les personnes

L’article 32 de la loi du 6 janvier 1978 modifiée dispose : I.- La personne auprès de laquelle sont recueillies

des données à caractère personnel la concernant est informée, sauf si elle l’a été au préalable, par le

responsable du traitement ou son représentant :

1° De l’identité du responsable du traitement et, le cas échéant, de celle de son représentant ;

2° De la finalité poursuivie par le traitement auquel les données sont destinées ;

3° Du caractère obligatoire ou facultatif des réponses ;

4° Des conséquences éventuelles, à son égard, d’un défaut de réponse ;

5° Des destinataires ou catégories de destinataires des données ;

6° Des droits qu’elle tient des dispositions de la section 2 du présent chapitre ;

7° Le cas échéant, des transferts de données à caractère personnel envisagés à destination d’un Etat non membre

de la Communauté européenne.

Lorsque de telles données sont recueillies par voie de questionnaires, ceux-ci doivent porter mention des

prescriptions figurant aux 1°, 2°, 3° et 6°.

Dans le cadre de la mise en demeure, il a été enjoint à la société de faire apparaître sur ses formulaires

d’inscription aux lettres d’information, une mention d’information complète au regard de l’article précité.

Dans son courrier de réponse, la société a communiqué la mention type intégrée sur les formulaires concernés qui

ne précise toutefois pas aux internautes qu’ils peuvent s’opposer au traitement effectué.

En défense, la société indique qu’elle aurait respecté ses obligations en faisant mention, sur ses formulaires de

collecte, des droits d’accès, de modification, de rectification et de suppression des données et en renvoyant,

pour les modalités pratiques de mise en œuvre de ces droits, à un autre support intitulé charte pour la

protection des données.

Sur ce point, la formation restreinte rappelle que le droit de s’opposer à figurer dans un traitement visé à

l’article 38 de la loi Informatique et Libertés, qui consiste, en l’espèce, à ne pas recevoir de courriels de

prospection de la part de la société, se distingue des droits d’accéder aux données détenues par le responsable

de traitement, garanti par l’article 39 de la loi précitée, et de celui d’obtenir la modification ou la

rectification des données visé à l’article 40.

Elle précise que la mention relative au droit d’opposition doit figurer, ainsi que le prescrit l’article 32

précité, sur le formulaire de collecte des données et non sur un autre support.

La formation restreinte relève également que le caractère non obligatoire de la collecte des données et le

recueil du consentement des internautes à recevoir des lettres d’information est sans incidence sur l’obligation

de la société d’informer la personne de son droit d’opposition qu’elle peut, le cas échéant, exercer a

posteriori.

Dès lors, il est établi que le manquement est caractérisé en ce que la mention d’information présente sur les

formulaires de collecte ne fait pas état du droit d’opposition.

Si la formation restreinte prend acte qu’à la date de la séance, la société s’est conformée à son obligation,

elle relève toutefois que les correctifs ont été mis en œuvre postérieurement au délai imparti par la mise en

demeure.

Sur le manquement à l’obligation de respecter le droit d’opposition

L’article 38 de la loi du 6 janvier 1978 modifiée dispose que Toute personne physique (…) a le droit de

s’opposer, sans frais, à ce que les données la concernant soient utilisées à des fins de prospection, notamment

commerciale, par le responsable actuel du traitement ou celui d’un traitement ultérieur .

A l’issue du contrôle sur place du 6 mars 2014, il a été constaté que certains internautes s’étant désabonnés des

lettres d’information de la société via l’option gérer mes abonnements ou s’étant opposés à recevoir des

courriels de sollicitation auprès du Correspondant Informatique et Libertés ont continué à recevoir des messages

électroniques de la société.

Mise en demeure de respecter de manière systématique le droit d’opposition des personnes, la société a indiqué

que la procédure qu’elle mettait en œuvre était opérante et que les difficultés identifiées par la délégation de

contrôle pouvaient correspondre aux situations d’internautes s’étant successivement désabonnés puis réabonnés

aux lettres d’information ou ayant sollicité leur désabonnement depuis une adresse électronique invalide.

En défense, la société a maintenu cette argumentation tout en contestant la validité des constats opérés par la

délégation de contrôle sur ses bases de données auprès de son prestataire technique.

Sur ce point, la formation restreinte considère que les constats opérés sont réguliers au regard de l’article 44

de la loi Informatique et Libertés dans la mesure où, d’une part, la délégation est autorisée à contrôler les

traitements mis en œuvre par un prestataire pour le compte du responsable de traitement, et, d’autre part, la

requête a porté sur la base de données de la société afin d’en extraire la liste des personnes ne possédant plus

d’abonnement aux lettres d’information ou ayant demandé à ne plus recevoir de sollicitation qui a été annexée au

procès-verbal de contrôle après prise d’empreinte numérique.

Sur le fond, la formation restreinte relève que la société a apporté des éléments d’explication sur les

dysfonctionnements constatés lors du contrôle et considère qu’elle met en œuvre une procédure de gestion des

désabonnements de nature à garantir une correcte prise en compte du droit d’opposition des personnes de sorte

que le manquement n’est pas caractérisé.

Sur le manquement à l’obligation de définir et de respecter une durée de conservation proportionnée à la finalité

du traitement

L’article 6-5° de la loi du 6 janvier 1978 modifiée dispose que les données à caractère personnel sont conservées

sous une forme permettant l’identification des personnes concernées pendant une durée qui n’excède pas la durée

nécessaire aux finalités pour lesquelles elles sont collectées et traitées .

Lors du contrôle sur place du 6 mars 2014, la société a indiqué que les données des internautes ayant souscrit à

une lettre d’information sont supprimées par déclenchement manuel d’un script SQL, qui prévoit une anonymisation

des données à l’expiration d’un délai de 760 jours d’inactivité (soit 2 ans et 30 jours). Elle a précisé que le

point de départ de la durée de conservation est l’ouverture de la lettre d’information ou le clic sur un lien

proposé dans cette lettre par les personnes concernées.

Dans le cadre de la mise en demeure, il a été enjoint à la société de se conformer à la norme simplifiée n° 48,

en référence à laquelle elle a souscrit un engagement de conformité le 23 juillet 2011, et qui prévoit que Les

données à caractère personnel relatives à un prospect non client peuvent être conservées pendant un délai de

trois ans à compter de leur collecte par le responsable de traitement ou du dernier contact émanant du prospect

(demande de documentation par exemple) . A cet égard, la mise en demeure a précisé que ni l’ouverture d’une

lettre d’information ni le clic sur un lien hypertexte contenu dans une telle lettre ne peuvent constituer un

contact au sens de cette norme.

En défense, la société a indiqué que, en ouvrant une lettre d’information, l’abonné effectue une action lui

permettant de consommer le contenu de la lettre et donc d’être en contact avec l’éditeur du contenu. Elle

considère a fortiori que le clic sur un lien hypertexte contenu dans la lettre d’information constitue un

contact émanant de l’internaute.

La formation restreinte considère que le clic de l’abonné sur un lien hypertexte peut constituer un contact au

sens de la norme simplifiée n° 48 dans la mesure où il manifeste sa volonté d’interagir avec la société. Elle

estime toutefois que la simple ouverture de la lettre d’information, qui peut arriver par inadvertance, ne peut

constituer le point de départ de la durée de conservation.

Dès lors, elle considère que le manquement à la durée de conservation est caractérisé.

Sur la sanction et la publicité

Les manquements commis par la société ont persisté au-delà du délai imparti par la mise en demeure et n’ont été

régularisés, pour partie, que dans le cadre de la présente procédure justifiant le fait que soit prononcée à son

encontre une sanction.

En outre, la société ne pouvait ignorer ses obligations en sa qualité de responsable de traitement compte tenu de

l’existence de procédures antérieures portant sur des manquements similaires.

La formation restreinte décide en conséquence de fixer le montant de la sanction à la somme de 15000 € et de

rendre publique sa délibération.

PAR CES MOTIFS

La formation restreinte de la CNIL, après en avoir délibéré, décide :

De prononcer une sanction pécuniaire de 15.000 € à l’encontre de la société X ;

De rendre publique sa délibération.

Le Président,

Jean-François CARREZ

Cette décision peut faire l’objet d’un recours devant le Conseil d’Etat dans un délai de deux mois à compter de

sa notification.