La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Philippe-Pierre CABOURDIN, président, Mmes Laurence FRANCESCHINI et Isabelle LATOURNARIE-WILLEMS, M. Bertrand du MARAIS et M. Didier KLING, membres ;

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;

Vu la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, notam-ment ses articles 20 et suivants ;

Vu le code des postes et des communications électroniques ;

Vu le décret no 2019-536 du 29 mai 2019 pris pour l’application de la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;

Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;

Vu la décision n° 2022-052C du 25 mars 2022 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements liés à la mise en œuvre par la société CALOGA auprès de tout organisme susceptible d’être concerné par leur mise en œuvre ;

Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés du 22 avril 2024 portant désignation d’un rapporteur devant la formation restreinte ;

Vu le rapport de Mme Aminata NIAKATÉ֤, commissaire rapporteure, signifié à la société CALOGA le 21 juin 2024 ;

Vu les observations écrites versées par la société CALOGA le 22 juillet 2024 ;

Vu la réponse de la rapporteure à ces observations, signifiée à la société le 22 août 2024 ;

Vu les nouvelles observations écrites versées par la société CALOGA le 30 septembre 2024 ;

Vu la clôture de l’instruction, signifiée à la société le 3 décembre 2024 ;

Vu les observations orales formulées lors de la séance de la formation restreinte du 13 mars 2025 ;

Vu les autres pièces du dossier ;

Étaient présents, lors de la séance de la formation restreinte du 13 mars 2025 :

– Mme Aminata NIAKATÉ, commissaire, entendue en son rapport ;

En qualité de représentants de la société CALOGA :

– […]

Le président ayant vérifié l’identité des représentants du mis en cause, présenté le déroulé de la séance et rappelé que les mis en cause peuvent, s’ils le souhaitent, présenter des observations orales introductives ou en réponse aux questions des membres de la formation restreinte ;

La société CALOGA ayant eu la parole en dernier ;

La formation restreinte a adopté la décision suivante :

I. FAITS ET PROCÉDURE

1. La société CALOGA (ci-après la société ) est une société par action simplifiée sise 75 rue Guy Moquet à Malakoff (92240). Créée en 2000, la société CALOGA poursuit deux activités : elle réalise des opérations de prospection commerciale par voie électronique pour le compte d’annonceurs auprès des prospects de ses bases de données, constituées auprès de partenaires primo-collectants qui organisent notamment des jeux-concours. Elle intervient également comme courtier en données ( data broker ), en transmettant des données, collectées par des partenaires primo-collectants, à des partenaires qui vont faire de la prospection commerciale pour leurs propres annonceurs.

2. En 2021, la société CALOGA comptait neuf salariés. Elle a réalisé, pour la même année, un chiffre d’affaires de […] euros pour un résultat net de […] euros. La société a ensuite progressivement cessé ses activités. En 2022, son chiffre d’affaires s’élevait à […] euros pour un résultat net de […] euros. En 2023, son chiffre d’affaires s’élevait à […] euros pour un résultat net déficitaire de […] euros.

3. En application de la décision n° 2022-052C du 25 mars 2022 de la Présidente de la Commission nationale de l’informatique et des libertés (ci-après la CNIL ou la Commission ), un contrôle a été réalisé les 11 et 12 mai 2022 dans les locaux de la société. Cette mission avait pour but de vérifier la conformité des traitements mis en œuvre par la société avec les dispositions de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés (ci-après la loi Informatique et Libertés ou loi du 6 janvier 1978 modifiée ) et des autres dispositions relatives à la protection des données personnelles prévues par les textes législatifs et réglementaires, le droit de l’Union européenne et les engagements internationaux de la France.

4. Des procès-verbaux n° 2022-052/1 et n° 2022-052/2 des 11 et 12 mai 2022, ont été notifiés à la société à l’issue des journées de contrôle sur place. Plusieurs échanges entre la société et la délégation ont eu lieu entre mai 2022 et mai 2023.

5. Aux fins d’instruction de ces éléments, la présidente de la Commission a, le 22 avril 2024, désigné Mme Aminata NIAKATÉ en qualité de rapporteure sur le fondement de l’article 22 de la loi du 6 janvier 1978 modifiée.

6. Le 21 juin 2024, à l’issue de son instruction, la rapporteure a fait signifier à la société un rapport détaillant les manquements aux articles 5, paragraphe 1, e), 6 et 32 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (ci-après le Règlement ou le RGPD ) et L. 34-5 du Code des postes et des communications électroniques (ci-après CPCE ) qu’elle estimait constitués en l’espèce. Ce rapport proposait à la formation restreinte de prononcer à l’encontre de la société une amende administrative. Il proposait également que cette décision soit rendue publique mais qu’il ne soit plus possible d’identifier nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.

7. Plusieurs échanges d’écriture ont par la suite eu lieu entre la rapporteure et la société, jusqu’à la clôture de l’instruction signifiée à la société le 3 décembre 2024.

8. A l’issue de la procédure contradictoire écrite, la rapporteure et la société ont présenté des observations orales lors de la séance de la formation restreinte.

II. MOTIFS DE LA DECISION

A. Sur les traitements en cause et la responsabilité de la société CALOGA

9. Aux termes de l’article 4, point 2, du RGPD, le traitement de données à caractère personnel s’entend comme toute opération ou tout ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des données ou des ensembles de données à caractère personnel, telles que la collecte, l’enregistrement, l’organisation, la structuration, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, la limitation, l’effacement ou la destruction . L’article 4, point 7 du RGDP définit le responsable de traitement comme la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement .

10. La formation restreinte relève que, dans l’écosystème de la prospection commerciale, la qualité à conférer aux différents acteurs de la chaîne en matière de responsabilité de traitement – à savoir à l’annonceur pour le compte duquel la prospection électronique est adressée et à l’intermédiaire intervenant entre lui et le primo-collectant, qui peut notamment être chargé de l’envoi des messages de prospection électronique pour l’annonceur – dépend d’un certain nombre de paramètres (comme par exemple la propriété de la base de données, ses modalités de constitution et de gestion, les choix opérés en matière de segmentation ou encore le degré et la précision des instructions données par l’annonceur). Ces attribution et répartition des responsabilités entre les différents acteurs peuvent varier en fonction des rôles et des actions menées par chacun, selon les cas d’espèce, et elles doivent par conséquent faire l’objet d’une analyse au cas par cas. La qualification retenue par les acteurs eux-mêmes, notamment dans leurs actes contractuels, constitue un élément important à prendre en compte, mais non déterminant s’il ne correspond pas à la réalité des critères de l’article 4 du RGPD. En fonction des cas de figure, peuvent être qualifiés de responsables de traitement l’annonceur, c’est-à-dire l’entité souhaitant promouvoir ses produits ou services (v. CNIL, FR, 3 août 2022, n° SAN-2022-017, publié ; CNIL, 24 novembre 2022, n° SAN-2022-021, publié ; CNIL, FR, 12 octobre 2023, n° SAN-2023-015, publié ; CE, 23 mars 2015, GROUPE DSE, n° 357556, Rec.) ou encore certains prestataires spécialisés offrant des services publicitaires et produits de marketing (v. CE, 11 mars 2015, TUTO4PC, n° 368624, T ; CNIL, FR, 7 décembre 2020, SAN-2020-016, publié). Parmi ces prestataires figurent des sociétés constituant des bases de données de contact à partir de diverses sources tierces (appelées primo-collectants ), qu’elles revendent à des partenaires ou utilisent pour proposer des prestations de prospection commerciale à des annonceurs. Ces acteurs peuvent, selon les configurations, être sous-traitants de l’annonceur ou responsables de traitement des opérations de prospection, sans exclure une possible coresponsabilité entre l’annonceur et son prestataire.

11. En matière de prospection commerciale, la formation restreinte a par exemple retenu la qualité de responsable de traitement d’un organisme ayant pour activité la constitution d’une base de données de contacts destinés à la prospection commerciale par voie électronique ainsi que l’envoi de courriers électroniques de prospection au bénéfice d’annonceurs, sur la base des éléments suivants : en premier lieu, s’agissant de la détermination des finalités, la formation restreinte relève que […] la société est propriétaire de la base de données utilisée dans le cadre des campagnes de prospection, les annonceurs et agences web ne fournissant pas les données à caractère personnel des prospects à contacter et n’ayant pas accès aux données à caractère personnel des prospects. En second lieu, la formation restreinte considère que la société détermine les moyens essentiels du traitement en ce qu’elle définit les données personnelles qui figurent dans sa base de prospects, les durées pendant lesquelles ces données y sont conservées et les éventuelles mises à jour devant être opérées. En conséquence, et sans qu’en l’espèce il soit nécessaire de se prononcer sur une éventuelle responsabilité conjointe des partenaires annonceurs de la société […], la formation restreinte retient que cette dernière a défini les finalités et les moyens du traitement lié à la gestion et la mise à disposition de sa base de données personnelles à des fins de prospection commerciale par courrier électronique (CNIL, FR, 7 décembre 2020, SAN-2020-016, publié).

12. La rapporteure considère d’abord que la société CALOGA intervient en qualité de responsable du traitement pour les activités de prospection commerciale par voie électronique effectuées à partir des données contenues dans ses bases pour le compte de ses clients annonceurs. Ensuite, s’agissant de la transmission de données de prospects à ses partenaires afin qu’ils réalisent des opérations de prospection commerciale par voie électronique pour le compte d’annonceurs, la rapporteure considère que la société CALOGA intervient en qualité de responsable de traitement conjoint avec les partenaires destinataires des données.

13. La société confirme sa qualité de responsable du traitement pour la gestion de la base et les opérations de prospection commerciale par voie électronique effectuées pour le compte d’annonceurs. S’agissant des opérations de transmission de données de prospects, la société considère, contrairement au rapporteur, que ses partenaires ont la qualité de sous-traitant, et que l’exigence d’un consentement valable des prospects pour la transmission de leurs données ne saurait lui être opposé dans ce cadre, les données étant transmises à des sous-traitants. La base légale de ce traitement serait, selon la société, l’intérêt légitime. Elle indique avoir procédé à une analyse personnelle de la qualité des différents intervenants et qu’il ne peut pas lui être reproché d’avoir abouti à une conclusion différente de celle de la CNIL.

14. S’agissant de la constitution des bases de données de la société CALOGA, la formation restreinte relève que la société CALOGA achète ses données, collectées via des jeux concours ou des tests de produits, à des partenaires commerciaux (les primo-collectants ) pour constituer ses bases de données prospects dont elle est propriétaire. A ce titre, il est prévu, notamment dans le contrat conclu avec la société […], fournisseur de données, que la société CALOGA devient elle-même un responsable du traitement dès lors qu’elle utilise les données à caractère personnel des internautes ayant accepté de rejoindre sa base pour mettre en œuvre des traitements dont elle a défini les finalités et les moyens . Les données collectées dans ce cadre sont les nom, prénom, civilité, adresse électronique, code postal, date de naissance et, de façon épisodique, l’adresse postale. Elle relève également que la société met en œuvre ce traitement de prospection commerciale en démarchant les prospects présents dans ses quatre bases de données (CALOGA, ZEPLAN, BASYLO ou VOZEKO) et en choisissant elle-même les segments qui seront démarchés.

15. Il apparaît ainsi que la société est responsable du traitement portant sur la constitution de ses quatre bases de données de contacts.

16. S’agissant de la réalisation d’opérations de prospection commerciale au bénéfice des clients annonceurs, la formation restreinte note que la société CALOGA offre un service d’envoi de courriels de prospection à la demande d’agences ou de plateformes d’affiliation qui fournissent à la société CALOGA des kits de prospection pour le compte d’annonceurs finaux.

17. Il ressort des éléments du dossier qu’en pratique, ces opérations de prospection commerciale par voie électronique sont réalisées à partir de données issues d’une des bases de données de la société CALOGA, déterminée en fonction de la volumétrie souhaitée, que la société a elle-même constituées à partir de données de prospects transmis par ses partenaires primo-collectants. En pareille hypothèse, les clients de la société CALOGA, non seulement ne fournissent pas les données utilisées, mais n’y ont en outre pas accès.

18. Il apparaît ainsi que, s’agissant des opérations de prospection commerciale pour le compte d’annonceurs, la société agit au moins en partie comme responsable de traitement lorsque ces opérations sont réalisées à partir de ses bases de données. A cet égard, il convient de souligner que la société a confirmé sa qualité de responsable de traitement, d’abord dans le cadre du contrôle sur place effectué en mai 2022, puis dans le cadre de ses observations avec la rapporteure. Par ailleurs, et sans qu’il soit nécessaire en l’espèce de se prononcer sur l’éventuelle responsabilité conjointe de ses clients, la formation restreinte observe que cette responsabilité de CALOGA n’exclut pas celle des annonceurs, agissant comme responsables conjoints du traitement. Il est également possible que dans certains cas la société CALOGA agisse comme sous-traitant de ses clients, mais ces hypothèses ne sont pas en cause en l’espèce.

19. Au vu de l’ensemble de ce qui précède, la formation restreinte entend préciser que la présente décision concerne les traitements pour lesquels la société CALOGA est, et se reconnait, responsable de traitement, et qui portent sur la réalisation d’opérations de prospection électronique à partir de ses bases au bénéfice de clients annonceurs.

20. S’agissant de la transmission des données de prospects à des fins de prospection commerciale par voie électronique, la formation restreinte relève que la société transmet régulièrement (une fois par mois) les données de prospects actifs présents au sein de ses bases de données, qu’elle a constituées, à des partenaires, principalement les sociétés […], afin qu’ils réalisent à leur tour des opérations de prospection commerciale par voie électronique pour le compte de leurs propres clients annonceurs. Cette transmission est réalisée par la livraison, au partenaire, d’une ou plusieurs bases de données de la société CALOGA, le partenaire ayant le choix de la base ou des bases de données qu’il veut recevoir. Cette livraison est effectuée par le téléchargement d’un fichier sécurisé qui annule et remplace le précédent. Les sociétés à qui les données sont transmises, telles […] ou […], effectuent ensuite de nouvelles opérations de prospection commerciale, notamment par voie électronique, pour le compte de leurs clients annonceurs à partir des bases dont ils ont ciblé avec leurs propres outils les segments qu’ils souhaitent solliciter. Ces opérations constituent de nouveaux traitements de données à caractère personnel, mis en œuvre par d’autres responsables de traitement que la société CALOGA.

21. Dans ces conditions, la formation restreinte considère que la société doit être regardée comme responsable de traitement, tant pour les opérations de prospection commerciale par voie électronique réalisées au bénéfice de ses clients à partir de sa base de données – nonobstant l’éventuelle responsabilité conjointe desdits clients et à l’exclusion de cas où elle n’agirait qu’en qualité de sous-traitant – que pour la transmission de données de prospects à des partenaires, afin qu’ils réalisent eux-mêmes de la prospection commerciale par voie électronique.

B. Sur la régularité de la procédure menée à l’encontre de la société

22. La société affirme qu’il ne saurait lui être reproché l’absence de vérifications s’agissant de la conformité du recueil du consentement sur le fondement d’exigences qui n’existaient pas au moment des contrôles. Une telle pratique porterait manifestement atteinte aux principes de la légalité des délits et des peines et de non-rétroactivité.

23. La formation restreinte entend préciser que le cadre juridique applicable sera examiné, au sein de la présente délibération, pour chacun des manquements relevés. Elle rappelle néanmoins d’ores et déjà que les décisions visées par la société comme étant postérieures aux opérations de contrôle ne constituent que l’application de règles pré-existantes et ne sauraient, dans ces conditions, se voir opposer le principe de non-rétroactivité des règles répressives, qui ne concerne que les règles à caractère impératif.

24. Elle souligne également que, si la CNIL dispose de pouvoirs de publication de lignes directrices, recommandations ou référentiels destinés à faciliter la mise en conformité des traitements de données à caractère personnel avec les textes relatifs à la protection des données à caractère personnel (en application de l’article 8, paragraphe 2, b) de la loi Informatique et Libertés), les règles juridiques sont fixées par les législateurs français et européen et interprétées par les juridictions compétentes, et sont directement applicables aux organismes concernés. Dès lors, l’adoption par la CNIL de référentiels ou lignes directrices n’est pas un préalable à l’obligation de respecter les règles déjà édictées et à l’application de sanctions prévues par le RGPD ou la loi Informatique et Libertés en cas de violation. La formation restreinte relève par ailleurs qu’en l’espèce, les règles établies en matière de prospection commerciale, éclairées par les publications de la CNIL tel son référentiel relatif aux traitements de données à caractère personnel mis en œuvre aux fins de gestion des activités commerciales adopté en septembre 2021 et les pages dédiées à la question sur son site web, ainsi que par les lignes directrices 5/2020 sur le consentement au sens du règlement (UE) 2016/679 adoptées par le Comité européen de la protection des données (ci-après, le CEPD ), permettaient aux acteurs d’appréhender, de manière suffisamment précise, le cadre juridique applicable et les obligations pesant sur eux.

25. Enfin, la formation restreinte entend souligner qu’il ressort du principe de responsabilité, tel que défini par le RGPD, qu’il appartient à l’organisme réalisant les traitements de définir et mettre en œuvre les mesures permettant le respect des dispositions légales applicables. A cet égard, le considérant 74 du RGPD dispose qu’ il y a lieu d’instaurer la responsabilité du responsable du traitement pour tout traitement de données à caractère personnel qu’il effectue lui-même ou qui est réalisé pour son compte. Il importe, en particulier, que le responsable du traitement soit tenu de mettre en œuvre des mesures appropriées et effectives et soit à même de démontrer la conformité des activités de traitement avec le présent règlement, y compris l’efficacité des mesures. Ces mesures devraient tenir compte de la nature, de la portée, du contexte et des finalités du traitement ainsi que du risque que celui-ci présente pour les droits et libertés des personnes physiques . Il apparait ainsi que c’est bien aux responsables de traitement – et non aux autorités de protection des données – qu’il appartient de déterminer les modalités pratiques de mise en œuvre des traitements qui leur paraissent les plus adaptées, à la condition que ces modalités leur permettent de démontrer le respect les obligations posées par les textes nationaux et européens.

C. Sur le manquement à l’obligation de recueillir le consentement des personnes concernées pour la mise en œuvre de prospection commerciale par voie électronique en application de l’article L. 34-5 du code des postes et des communications électroniques

26. A titre liminaire, la formation restreinte relève que la société réalise des opérations de prospection commerciale par courrier électronique à partir de données de prospects transmises par ses partenaires. Le cycle de vie de ces données peut ainsi être résumé de la manière suivante : les données sont collectées auprès des personnes concernées par des sociétés telles que […] et […] (appelées primo-collectants ), chargées contractuellement de recueillir le consentement des personnes concernées à faire l’objet de prospection commerciale par voie électronique. La collecte de ces données et le recueil du consentement s’effectuent par le biais de formulaires de participation à des jeux-concours en ligne, conçus par ces sociétés. Ensuite, ces données sont transmises à la société CALOGA, qui les intègre dans une ou plusieurs de ses bases de données puis les utilise pour réaliser des opérations de prospection commerciale par voie électronique. Pour ce faire, elle se fonde sur le consentement préalablement recueilli par ses partenaires primo-collectants, pour son compte, à partir des formulaires précités.

27. En droit, aux termes de l’article L. 34-5 du CPCE, est interdite la prospection directe au moyen de système automatisé de communications électroniques […], d’un télécopieur ou de courriers électroniques utilisant les coordonnées d’une personne physique, abonné ou utilisateur, qui n’a pas exprimé préalablement son consentement à recevoir des prospections directes par ce moyen. / Pour l’application du présent article, on entend par consentement toute manifestation de volonté libre, spécifique et informée par laquelle une personne accepte que des données à caractère personnel la concernant soient utilisées à fin de prospection directe. / Constitue une prospection directe l’envoi de tout message destiné à promouvoir, directement ou indirectement, des biens, des services ou l’image d’une personne vendant des biens ou fournissant des services. Pour l’application du présent article, les appels et messages ayant pour objet d’inciter l’utilisateur ou l’abonné à appeler un numéro surtaxé ou à envoyer un message textuel surtaxé relèvent également de la prospection directe .

28. Aux termes de l’article 4, paragraphe 11, du RGPD, on entend par consentement de la personne concernée toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l’objet d’un traitement .

29. La rapporteure relève que la société CALOGA réalise des opérations de prospection commer-ciale par voie électronique à partir de données de prospects collectées dans le cadre de jeux-concours, d’offres de tests de produits et de sondages par des sociétés, primo-collectantes. Les formulaires de collecte de données mis en place par les primo-collectants ne permettent pas de recueillir un consentement valable des personnes concernées et les mesures mises en place par la société pour s’assurer que le consentement recueilli est conforme aux exigences du RGPD ne sont pas suffisantes.

30. En défense, la société affirme qu’elle ne pouvait pas prévoir la position de la CNIL sur la conception insatisfaisante des formulaires de collecte des données en l’absence de recommandation spécifique relative à la prospection commerciale, la recommandation cookies ne relevant pas du même secteur d’activité. Elle précise que les décisions évoquées par la rapporteure à l’appui de son argumentation sont postérieures aux opérations de contrôle.

31. Elle ajoute qu’elle ne dispose d’aucune marge de manœuvre sur l’édition des supports de recueil du consentement émis par les primo-collectants et qu’elle a mis en place des mesures pour vérifier la conformité du traitement dont elle a la responsabilité : encadrement contractuel et vérifications des données collectées.

1. Sur cadre juridique applicable et la responsabilité de la société CALOGA

1.1 Sur les conditions de validité du consentement

32. La société considère qu’à l’époque du contrôle, en mai 2022, le cadre juridique applicable ne lui permettait pas de conclure à l’invalidité des mécanismes de recueil du consentement mis en œuvre par ses partenaires. Elle soutient en effet que ce n’est que par une délibération du 29 décembre 2023 (CNIL, FR, 29 décembre 2023, Sanction, n° 2023-025, publié) que la formation restreinte s’est prononcée sur les modalités spécifiques de ce recueil dans le contexte des jeux-concours organisés par les primo-collectants, et qu’elle n’était pas en capacité d’anticiper une telle décision. Elle fait par ailleurs valoir que les recommandations et lignes directrices relatives aux cookies, citées au sein du rapport, ne peuvent trouver à s’appliquer en matière de prospection commerciale.

33. La formation restreinte rappelle que l’ensemble des règles applicables en matière de prospection par voie électronique, ainsi que celles relatives au consentement, sont fixées depuis de nombreuses années et qu’elles précèdent non seulement la publication de la décision susvisée, mais également les opérations de contrôle menées en mai 2022 auprès de la société CALOGA.

34. La formation restreinte rappelle ainsi que le consentement spécifique requis par les dispositions de l’article L. 34-5 du CPCE, combinées à celles de l’article 4 du RGPD, doit s’entendre comme une manifestation de volonté libre, spécifique, éclairée et univoque et ne peut résulter que d’un consentement exprès de l’utilisateur, donné en toute connaissance de cause après une information adéquate sur l’usage qui sera fait de ses données personnelles.

35. Elle relève que la Cour de justice de l’Union européenne a précisé, dans sa décision Planet49 GmbH de 2019 qui portait sur la validité du consentement donné dans le cadre d’une participation à un jeu-concours en ligne, que : l’article 7, sous a) de la directive 95 prévoit que le consentement de la personne concernée peut rendre un tel traitement licite pour autant que ce consentement est indubitablement donné par la personne concernée. Or, seul un comportement actif de la part de cette personne en vue de manifester son consentement est de nature à remplir cette exigence (CJUE, grande chambre, 1er octobre 2019, Planet49 GmbH, C-673/17, ECLI:EU:C:2019:801, point 54). Dès lors, il convient de considérer qu’à défaut d’être donné indubitablement, le consentement doit être considéré comme faisant défaut, ce qui rend le traitement illégal pour défaut de base légale. Plus précisément sur les modalités de recueil, la CJUE affirme que la manifestation de volonté visée à l’article 2, sous h), de la directive 95/46 doit, notamment, être spécifique , en ce sens qu’elle doit porter précisément sur le traitement de données concerné et ne saurait être déduite d’une manifestation de volonté ayant un objet distinct. En l’occurrence, contrairement à ce qu’a fait valoir Planet49, le fait pour un utilisateur d’activer le bouton de participation au jeu promotionnel organisé par cette société ne saurait dès lors suffire pour considérer que l’utilisateur a valablement donné son consentement au placement de cookies (Idem, points 58-59).

36. En outre, le Conseil d’Etat a retenu que le consentement libre, spécifique, éclairé et univoque ne peut qu’être un consentement exprès de l’utilisateur, donné en toute connaissance de cause et après une information adéquate sur l’usage qui sera fait de ses données personnelles. (CE, 10ème et 9ème chambres réunies, 19 juin 2020, Google LLC, n° 430810, pt. 21).

[… passage central omis : décision trop longue pour une cellule …]

95. Or, la société CALOGA ne dispose pas d’un consentement valable pour transmettre les données de prospects à ses partenaires à des fins de prospection commerciale par voie électronique pour le compte de leurs clients annonceurs, la société considérant qu’elle n’a pas à recueillir un consen-tement spécifique pour cette transmission, celle-ci relevant de son intérêt légitime.

96. En ne disposant pas du consentement des personnes concernées pour cette transmission de leurs données, et ainsi d’une base légale valable pour mettre en œuvre ce traitement, la socié-té a commis un manquement à l’article 6 du RGPD.

F. Sur le manquement relatif à l’obligation de conserver les données pour une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées en application de l’article 5-1-e du RGPD

97. Aux termes de l’article 5, paragraphe 1, e) du RGPD, les données à caractère personnel doivent être conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées (…) .

98. En application de ces dispositions, il incombe au responsable de traitement de définir une durée de conservation conforme à la finalité du traitement. Lorsque cette finalité est atteinte, les données doivent être supprimées ou anonymisées, ou faire l’objet d’un archivage intermédiaire pour une durée déterminée lorsque leur conservation est nécessaire, par exemple pour le respect d’obligations légales ou à des fins précontentieuses ou contentieuses notamment.

99. A cet égard, la formation restreinte a rappelé à plusieurs reprises que la durée de conservation des données à caractère personnel doit être déterminée en fonction de la finalité poursuivie par le traitement. Lorsqu’elles ne sont plus nécessaires au besoin de la finalité pour laquelle elles ont été collectées, les données doivent soit être supprimées, soit faire l’objet d’un archivage intermédiaire lorsque leur conservation est nécessaire, par exemple pour le respect d’obligations légales ou à des fins précontentieuses ou contentieuses. Cet archivage intermédiaire nécessite tout d’abord de réaliser un tri des données pertinentes à archiver, au regard des finalités justifiant la conservation de ces données (obligations légale ou comptable, finalité contentieuse, etc.), puis d’opérer une séparation avec la base active, qui peut être physique – via un transfert des données au sein d’une base d’archives dédiée – ou logique – via la mise en place de mesures techniques et organisationnelles garantissant que seules les personnes ayant un intérêt à traiter les données en raison de leurs fonctions puissent y accéder (CNIL, FR, 8 septembre 2022, Sanction, n° SAN-2022-018, publié ; CNIL, FR, 29 décembre 2023, Sanction, n° SAN-2023-023, publié).

100. S’agissant du point de départi du délai, la formation restreinte a également considéré qu’un responsable de traitement ne [pouvait], sans méconnaître le principe de limitation de la durée de conservation des données, considérer que la simple ouverture d’un courriel de prospection par une personne permet de refaire courir le point de