La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Philippe-Pierre CABOURDIN, président, M. Vincent LESCLOUS, vice-président, Mmes Laurence FRANCESCHINI et Isabelle LATOURNARIE-WILLEMS et M. Alain DRU, membres ;

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;

Vu le code des postes et des communications électroniques ;

Vu la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;

Vu le décret no 2019-536 du 29 mai 2019 pris pour l’application de la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;

Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;

Vu la décision n° 2021-270C du 4 octobre 2021 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements mis en œuvre par les sociétés [X] et [Y] ou pour leur compte, en tout lieu susceptible d’être concerné par leur mise en œuvre ;

Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés du 16 novembre 2023 portant désignation d’un rapporteur devant la formation restreinte ;

Vu le rapport de Mme Sophie LAMBREMON, commissaire rapporteure, signifié à la société [X] le 1er mars 2024 ;

Vu les observations écrites versées par la société [X] le 2 avril 2024 ;

Vu la décision n° 2024-093C du 22 avril 2024 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification de tout traitement accessible à partir du domaine  » […]  » ou portant sur des données à caractère personnel collectées à partir de ce dernier ;

Vu la réponse de la rapporteure à ces observations, notifiée à la société le 30 avril 2024 ;

Vu les observations écrites versées par la société [X] le 30 mai 2024 ;

Vu la clôture de l’instruction, notifiée à la société le 10 juin 2024 ;

Vu les courriers adressés par la société au greffe du service des sanctions et du contentieux et au président de la formation restreinte le 24 juin 2024 ;

Vu les observations orales formulées lors de la séance de la formation restreinte du 4 juillet 2024 ;

Vu les autres pièces du dossier ;

Étaient présents, lors de la séance de la formation restreinte :

– Mme Sophie LAMBREMON, commissaire, entendue en son rapport ;

En qualité de représentants de la société [X] :

– […]

La société [X] ayant eu la parole en dernier ;

La formation restreinte a adopté la décision suivante :

I. FAITS ET PROCÉDURE

1. La société [X] (ci-après,  » la société « ), dont le siège social est situé X, est une société par actions simplifiée proposant des services à distance d’art divinatoire (tarot, horoscope, voyance), gratuits ou payants. Au 30 novembre 2021, elle employait 154 salariés.

2. Entre mars 2021 et mars 2022, son chiffre d’affaires s’est élevé à environ 26,4 millions d’euros, pour un résultat net de 0,5 million d’euros. L’année suivante, ce chiffre s’élevait à environ 26,6 millions d’euros, pour un résultat net déficitaire de 1,46 million d’euros.

3. La société propose, à titre principal, des consultations de voyance personnalisées par téléphone assurées par des téléconseillers voyants salariés ou indépendants, dont certains sont implantés hors de France (en Espagne mais également dans des pays tiers à l’Union, tels que Bali, la Tunisie ou les Etats-Unis). Si la majorité des appels reçus provient d’utilisateurs établis en France, il ressort des éléments fournis par la société qu’environ 5% proviennent d’autres pays de l’Union ou d’Etats tiers.

4. Par ailleurs, la société édite plusieurs sites web, parmi lesquels le site […], ainsi que plusieurs applications mobiles. Ces sites et applications proposent, outre les prestations de voyance par téléphone, des services de voyance par conversation instantanée ( » chat « ) ou par SMS, lesquels sont assurés par son partenaire, la société [Y]. Cette dernière est par ailleurs en charge du développement, de la fourniture et de la maintenance des services informatiques et numériques de la société [X], qui est son principal client. Les rapports entre les deux sociétés sont encadrés, d’une part, par un contrat de sous-traitance, d’autre part, par un accord de responsabilité conjointe concernant le traitement de certaines données à caractère personnel.

5. Afin de promouvoir ses offres, la société [X] réalise des campagnes de prospection commerciale par courriers électroniques et SMS, tant auprès de ses clients que de prospects dont les coordonnées ont été obtenues soit directement par ses soins (principalement par le biais de ses sites web), soit par la société [Y] (laquelle gère également ses propres sites web, qui proposent notamment des prestations de voyance par téléphone assurées par la société [X]).

6. La société [X] dispose pour ce faire d’une base de données qui lui est propre (base de données […], laquelle comprenait, au 7 décembre 2021, un peu plus de 673 000 contacts uniques ayant le statut de clients et un peu plus de 278 000 ayant le statut de prospects), mais également d’une base de données commune avec la société [Y] (base […]), contenant les données de l’ensemble des clients et prospects des deux sociétés, ce qui représentait, au 6 octobre 2022, plus de 7 millions de fiches de contact pour plus d’1,5 million de personnes uniques.

7. La société [X] a indiqué avoir, sur les trois premiers trimestres de l’année 2022, envoyé près de 6,3 millions de SMS et plus de 75,6 millions de courriers électroniques de prospection commerciale.

8. Le 15 novembre 2021, une délégation de la Commission nationale de l’informatique et des libertés (ci-après,  » la CNIL  » ou  » la Commission « ) a procédé à un contrôle en ligne à partir de cinq sites web édités par les sociétés [X] et [Y]. Celui-ci avait pour but de vérifier le respect des dispositions de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés (ci-après,  » la loi Informatique et Libertés  » ou  » loi du 6 janvier 1978 modifiée « ) et des autres dispositions relatives à la protection des données personnelles prévues par les textes législatifs et réglementaires, le droit de l’Union européenne et les engagements internationaux de la France. Le procès-verbal dressé à l’issue a été notifié à la société [X] le 22 novembre 2021.

9. Un contrôle sur place a également été réalisé les 7 et 8 décembre 2021 dans les locaux des sociétés susvisées. Les procès-verbaux afférents ont été notifiés à la société [X] le 10 décembre 2021.

10. La société a communiqué à la délégation des éléments complémentaires les 20 décembre 2021, 26 janvier, 25 février, 30 mai, 5 août et 12 octobre 2022.

11. Aux fins d’instruction de ces éléments, la présidente de la Commission a, le 16 novembre 2023, désigné Mme Sophie LAMBREMON en qualité de rapporteure sur le fondement de l’article 22 de la loi du 6 janvier 1978 modifiée.

12. Conformément à l’article 56 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données (ci-après,  » le RGPD « ) et au vu des éléments du dossier, la CNIL a, le 27 avril 2023, informé l’ensemble des autorités de contrôle européennes de sa compétence pour agir en tant qu’autorité de contrôle cheffe de file concernant les traitements transfrontaliers mis en œuvre par la société, résultant de ce que l’établissement principal de la société se trouve en France. Après échanges entre la CNIL et les autorités de protection des données européennes dans le cadre du mécanisme de guichet unique, il apparait que les autorités allemande, autrichienne, belge, croate, danoise, espagnole, grecque, italienne, luxembourgeoise, maltaise, néerlandaise, polonaise, portugaise, roumaine, slovène et suédoise sont concernées par les traitements mis en œuvre, des personnes résidant dans ces Etats membres ayant eu recours par téléphone aux services de voyance proposés par la société.

13. Le 1er mars 2024, à l’issue de son instruction, la rapporteure a fait notifier à la société un rapport détaillant les manquements aux articles 5-1-c, 5-1-e et 9-2 du RGPD et à l’article L. 34-5 du code des postes et des communications électroniques (ci-après,  » le CPCE « ) qu’elle estimait constitués en l’espèce. Ce rapport proposait à la formation restreinte de prononcer à l’encontre de la société une amende administrative. Il proposait également que cette décision soit rendue publique mais qu’il ne soit plus possible d’identifier nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.

14. Le 2 avril 2024, la société a produit des observations en réponse au rapport de sanction.

15. Le 23 avril 2024, sur demande de la rapporteure et en application de l’article 39 du décret du 29 mai 2019, une délégation de la CNIL a procédé à un nouveau contrôle en ligne à partir du site web […]. Le procès-verbal dressé à l’issue a été notifié à la société [X] le 30 avril 2024.

16. Le même jour, la rapporteure a répondu aux observations du 2 avril de la société.

17. Le 30 mai 2024, la société a produit de nouvelles observations en réponse.

18. Le 10 juin 2024, la rapporteure a, en application du III de l’article 40 du décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi Informatique et Libertés (ci-après,  » le décret du 29 mai 2019 « ), informé la société et le président de la formation restreinte que l’instruction était close.

19. Le même jour, la société a été informée que le dossier était inscrit à l’ordre du jour de la formation restreinte du 4 juillet 2024.

20. La rapporteure et la société ont présenté des observations orales lors de la séance de la formation restreinte.

II. MOTIFS DE LA DECISION

A. Sur la procédure de coopération européenne

21. Aux termes de l’article 4, paragraphe 23, b) du RGPD, on entend par  » traitement transfrontalier « , notamment,  » un traitement de données à caractère personnel qui a lieu dans l’Union dans le cadre des activités d’un établissement unique d’un responsable du traitement ou d’un sous-traitant, mais qui affecte sensiblement ou est susceptible d’affecter sensiblement des personnes concernées dans plusieurs États membres « .

22. La rapporteure considère que la société met en œuvre des traitements de données à caractère personnel transfrontaliers dans la mesure où certains de ses clients accèdent aux services proposés depuis d’autres pays de l’Union. Elle relève ainsi que la société a transmis à la délégation un document faisant état du nombre de consultations téléphoniques délivrées chaque mois, avec une répartition des clients par pays, qui atteste du caractère transfrontalier des traitements.

23. En défense, la société considère que c’est à tort que la CNIL a informé ses homologues européens de la procédure suivie à son encontre et que l’application du mécanisme de coopération n’a pas lieu d’être. Elle indique tout d’abord que les prestations de la société sont exclusivement délivrées en français et que le contenu de son site web n’est accessible que dans cette langue. Ensuite, si elle admet qu’il peut arriver,  » de manière exceptionnelle et marginale « , que certains clients français accèdent aux services de la société depuis l’étranger, elle estime que ceux-ci ne sont pas eux-mêmes étrangers, en se fondant sur les lieux de naissance des personnes concernées. Elle considère que, compte tenu de ces éléments, seule l’autorité belge pourrait éventuellement être concernée.

24. La formation restreinte relève qu’il ressort des éléments du dossier que, dans le cadre des consultations de voyance délivrées par téléphone, la société a reçu chaque mois, sur l’année 2022, entre 350 et 400 appels provenant de différents pays de l’Union européenne. Cette circonstance suffit à caractériser l’existence d’un traitement transfrontalier, dès lors qu’il affecte ou est susceptible d’affecter sensiblement des personnes concernées dans plusieurs Etats membres, au sens de l’article 4, paragraphe 23, b) du RGPD, nonobstant la langue dans laquelle ces personnes s’expriment, leur nationalité ou encore leur lieu de naissance.

25. En application de l’article 60, paragraphe 3 du RGPD, le projet de décision adopté par la formation restreinte a été transmis aux autres autorités de contrôle européennes compétentes, en vue de leur permettre d’effectuer des objections pertinentes et motivées sur les traitements et manquements qui les concernent, le 22 août 2024.

26. Au 19 septembre 2024, aucune de ces autorités n’avait formulé d’objection pertinente et motivée à l’égard de ce projet de décision, de sorte que, en application de l’article 60, paragraphe 6, du RGPD, ces dernières sont réputées l’avoir approuvé.

B. Sur la procédure suivie devant la formation restreinte

1) Sur le grief tiré de la méconnaissance du droit à un procès équitable

27. La société fait d’abord valoir que, dans le cadre de la procédure suivie devant la CNIL, le principe du contradictoire n’aurait pas été respecté. Elle indique n’avoir eu connaissance de la pièce intitulée  » IMI REPORT – Numéro : […] – article 56 – identification de la LSA et des CSA « , par laquelle la CNIL informe les autorités de contrôle concernées de l’engagement d’une procédure de sanction, qu’au moment de sa consultation du dossier dans les locaux de la CNIL, le 10 juin 2024. Elle considère que, la clôture de l’instruction lui ayant été notifiée le même jour, elle n’a pas été mise en mesure de présenter ses observations sur ce point.

28. Elle estime par ailleurs, plus généralement, que les éléments du dossier n’ont pas été discutés et qu’aucun débat n’a pu avoir lieu dans la mesure où, depuis le contrôle, elle n’a pas été mise en demeure de modifier ses pratiques.

29. La société reproche enfin à la rapporteure d’avoir instruit ce dossier exclusivement à charge.

30. La formation restreinte rappelle, en premier lieu, que le principe du contradictoire implique le droit pour les parties de se voir communiquer et de pouvoir discuter de toute pièce ou observation présentée au juge en vue d’influencer sa décision (CEDH, Grande Chambre, 20 février 1996, Vermeulen c. Belgique, n° 19075/91).

31. La formation restreinte rappelle, d’une part, qu’en application de l’article 40-III du décret n° 2019-536 du 29 mai 2019, la décision de clore la procédure appartient à la rapporteure, lorsqu’elle estime le dossier en état. En l’espèce, il convient de relever que la rapporteure a pris cette décision le 10 juin 2024, considérant que le débat était épuisé après plusieurs échanges d’écritures avec la société, celle-ci ayant formulé ses observations en dernier. Ces échanges comportent les pièces sur lesquelles la rapporteure s’est fondée pour caractériser les manquements qu’elle propose à la formation restreinte de retenir.

32. La formation restreinte note, d’autre part, que la pièce intitulée  » IMI REPORT – Numéro : […] – article 56 – identification de la LSA et des CSA « , qui n’est qu’un document informatif dans le cadre de la procédure de coopération entre autorités de contrôle, constitue l’une des pièces figurant au dossier de la procédure. Elle relève que la société a été informée de la possibilité de prendre connaissance et copie de l’ensemble des pièces dudit dossier lors de la signification du rapport de sanction, le 1er mars 2024. Pour autant, la formation restreinte note que ce n’est que le 30 mai 2024, après transmission de ses secondes observations en défense, que la société a demandé à pouvoir exercer ce droit, la consultation ayant été organisée le 10 juin 2024.

33. En tout état de cause, la formation restreinte relève que la société a pu présenter ses observations orales sur le document susvisé lors de la séance du 4 juillet 2024, lesquelles ont d’ailleurs conduit la formation restreinte à suspendre la séance et à délibérer sur ce point avant de poursuivre les débats. La formation restreinte rappelle en outre que l’entier dossier de la procédure a également été mis à sa disposition avant la séance. Il résulte de l’ensemble de ce qui précède que les membres de la formation restreinte ont pu disposer de l’ensemble des éléments leur permettant d’arrêter leur décision.

34. Dans ces conditions, la formation restreinte considère que le principe du contradictoire n’a pas été méconnu. S’agissant plus généralement de la conduite de la procédure, la formation restreinte relève qu’elle a été menée de manière régulière, la société ayant pu présenter ses observations, d’abord écrites dans le cadre de l’instruction, puis orales lors de la séance de la formation restreinte du 4 juillet 2024, dans le respect des règles procédurales définies aux articles 22 de la loi Informatique et Libertés, 39 à 45 du décret du 29 mai 2019 et 61 à 70-1 du règlement intérieur de la CNIL.

35. En deuxième lieu, les dispositions de l’article 20, paragraphe IV de la loi Informatique et Libertés prévoient que la décision de saisir la formation restreinte relève des pouvoirs de la présidente de la CNIL, sans qu’une telle décision soit conditionnée au prononcé d’une mise en demeure préalable (CE, 10ème, 26 avril 2022, Optical Center, n° 449284, inédit).

36. En troisième et dernier lieu, la formation restreinte relève que, pour établir son rapport, la rapporteure s’est fondée sur les éléments recueillis à l’occasion de contrôles menés dans le respect des dispositions de la loi Informatique et Libertés, et qu’elle a examiné les faits constatés à la lumière des règles applicables en matière de protection des données à caractère personnel. La formation restreinte considère ainsi qu’aucun élément n’est de nature à révéler un parti pris défavorable de la rapporteure envers la société.

37. En conséquence, au vu de l’ensemble de ce qui précède, la société n’est pas fondée à soutenir que la procédure suivie à son encontre aurait méconnu son droit à un procès équitable

2) Sur le contrôle en ligne du 23 avril 2024

38. La société considère que les pièces relatives au contrôle en ligne réalisé le 23 avril 2024 à partir du site web […] doivent être écartées des débats, dans la mesure où ce site n’appartient pas à la société [X].

39. La formation restreinte relève que, par décision n° 2021-270C du 4 octobre 2021, la présidente de la CNIL a chargé le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements mis en œuvre par les sociétés [X] et [Y].

40. En application de cette décision, une délégation de la CNIL a procédé, le 15 novembre 2021, à un contrôle en ligne à partir de plusieurs sites web édités par ces deux organismes. Les constatations réalisées ont permis de relever que la société [Y] mettait en œuvre, sur son site web […], un formulaire lui permettant de collecter les données des utilisateurs à des fins de prospection commerciale.

41. Dans le cadre de ses échanges avec la délégation de contrôle, la société [X] a indiqué avoir mis en place, avec son partenaire la société [Y], une base de données commune leur permettant d’adresser des courriels et SMS de prospection indifféremment aux clients et prospects de l’une ou de l’autre des sociétés.

42. Dans son rapport, notifié à la société [X] le 1er mars 2024, la rapporteure a fait valoir que cette dernière ne pouvait, pour réaliser ses opérations de prospection, se prévaloir du consentement recueilli par la société [Y] via le formulaire mis en œuvre sur le site de cette société […], au motif qu’aucune liste de partenaires (mentionnant la société [X]) n’était aisément accessible. Elle a considéré qu’un manquement à l’article L. 34-5 du CPCE était ainsi constitué.

43. Dans ses observations en réponse du 2 avril 2024, la société [X] a répondu sur ce point et a notamment indiqué que, depuis le contrôle en ligne du 15 novembre 2021, le formulaire présent sur le site […] avait été modifié. Elle a, à cet égard, fourni une capture d’écran de ce nouveau formulaire.

44. Dans le cadre des pouvoirs qui lui sont attribués par l’article 39, alinéa 4 du décret du 29 mai 2019, la rapporteure a sollicité la réalisation d’un nouveau contrôle, dans l’objectif de vérifier la conformité du formulaire évoqué par la société [X] dans ses observations en réponse.

45. Par décision n° 2024-093C du 22 avril 2024, la présidente de la CNIL a chargé le secrétaire général de procéder ou de faire procéder à une mission de vérification de tout traitement accessible à partir du domaine  » […]  » ou portant sur des données à caractère personnel collectées à partir de ce dernier.

46. C’est dans ces conditions qu’une délégation de la CNIL a procédé à un nouveau contrôle en ligne de ce site, le 23 avril 2024.

47. La formation restreinte relève que, dans la mesure où la société [X] traite des données collectées à partir du site web […], le contrôle visé apparait parfaitement justifié. Elle note en outre que la société [X] s’est vue notifier le procès-verbal de contrôle le 30 avril 2024. Au surplus, elle observe que la décision de contrôle du 22 avril 2024 ne vise ni la société [X], ni la société [Y], mais bien le domaine […].

48. Dans ces conditions, il n’y a pas lieu d’écarter les pièces relatives au contrôle en ligne du 23 avril 2024.

C. Sur les manquements constatés

1) Sur le manquement à l’obligation de veiller à l’adéquation, à la pertinence et au caractère non excessif des données en application de l’article 5-1-c du RGPD

49. L’article 5, paragraphe 1, c) du RGPD dispose que les données à caractère personnel doivent être  » adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (minimisation des données) « .

50. La rapporteure considère que l’enregistrement intégral et systématique des conversations téléphoniques entre les voyants et les clients, entre les standardistes et les voyants ainsi qu’entre les standardistes et les clients ou prospects est excessif au regard des finalités de formation et d’évaluation et de contrôle qualité, et qu’il devrait être limité à un échantillon de conversations entre les personnes précitées, exception faite des conversations entre les standardistes et les clients ou prospects pour lesquelles l’enregistrement devrait porter sur la seule partie portant clairement sur la conclusion d’un contrat.

51. En défense, la société considère, en premier lieu, que si les enregistrements visés contiennent bien des données à caractère personnel, ils ne font pour autant l’objet d’aucun traitement par la suite.

52. En deuxième lieu, la société estime qu’elle procède déjà à des opérations de minimisation, d’une part en supprimant chaque soir, à l’issue du service, 50% des enregistrements des conversations entre les voyants et les clients et entre les voyants et les standardistes et, d’autre part, en ne réalisant aucun enregistrement d’informations relatives aux données bancaires de ses clients.

53. En troisième lieu, elle revient sur chacune des finalités qui, selon elle, préside à l’enregistrement des conversations téléphoniques. Elle considère tout d’abord que l’enregistrement intégral et systématique des conversations est nécessaire à des fins de contrôle de la qualité du service et de formation, compte tenu de la nature de son activité et de la diversité des consultations délivrées. Ensuite, elle estime qu’en cas de contestation en justice de ses prestations, elle ne dispose d’aucun autre moyen pour démontrer la souscription et la bonne exécution du contrat. La société fait en outre valoir qu’elle reçoit régulièrement des réquisitions judiciaires lui demandant communication des enregistrements réalisés et qu’elle se trouve dès lors dans l’obligation d’y répondre, sous peine de sanction pénale. Enfin, elle considère que ces enregistrements sont nécessaires à des fins de sauvegarde de la vie humaine, soutenant qu’ils lui permettraient d’apprécier les situations dans lesquelles il convient de contacter les services de secours.

54. La formation restreinte relève qu’il ressort des éléments du dossier que la société [X] enregistre de façon intégrale et systématique, d’une part, les conversations entre les voyants délivrant la consultation et les clients, ainsi que des conversations entre les standardistes et les voyants (dans le cadre des transferts d’appels d’un client à un voyant, ou lorsque le voyant renvoie le client vers le standard à l’issue de la consultation). Chaque soir, à l’issue du service, 50% de ces enregistrements font l’objet d’une suppression automatique. Les autres sont conservés pendant une durée de six mois (sauf contentieux).

55. Et d’autre part, la société enregistre l’intégralité des conversations entre les standardistes et les clients ou prospects (à l’exception de la partie relative à la collecte des coordonnées bancaires du client), qu’elle conserve pendant une durée de treize mois.

56. En premier lieu, aux termes de l’article 4, paragraphe 2 du RGPD, constitue un traitement  » toute opération ou tout ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des données ou des ensembles de données à caractère personnel, telles que la collecte, l’enregistrement, l’organisation, la structuration, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, la limitation, l’effacement ou la destruction « .

57. En application de ces dispositions, l’enregistrement de conversations téléphoniques constitue, en soi, un traitement de données à caractère personnel. La formation restreinte a d’ailleurs sanctionné, à plusieurs reprises et depuis plusieurs années des organismes se livrant à de tels enregistrements dans des conditions non conformes au RGPD (CNIL, FR, Sanction, 21 novembre 2019, SAN-019-010, publié ; CNIL, FR, Sanction, 28 juillet 2020, SAN-2020-003, publié ; CNIL, FR, Sanction, 8 juin 2023, SAN-2023-008, publié). En outre, la CNIL met à disposition du public de nombreux contenus relatifs à cette question sur son site web. La formation restreinte relève qu’il en était déjà ainsi avant l’entrée en application du RGPD, avec l’adoption en 2014 de la norme simplifiée n° 57 relative à l’écoute et l’enregistrement des conversations téléphoniques sur le lieu de travail.

58. La formation restreinte relève qu’en l’espèce, en procédant à l’enregistrement des conversations susvisées, la société collecte les données des personnes concernées – tant celles de ses prospects ou clients que de ses salariés –, les conserve (pour une durée plus ou moins longue, allant de quelques heures à plusieurs mois) et, pour certaines, les consultent et les utilisent dans le cadre de diverses finalités qu’elle détaille (formation et contrôle de la qualité du service, réquisitions judiciaires, contestation, etc.). Ainsi, la société réalise bien différentes opérations de traitement telles que détaillées à l’article 4, paragraphe 2 du RGPD.

59. S’il apparait établi que la société procède, chaque soir, à la suppression aléatoire et automatique de 50% de certains des enregistrements réalisés, la formation restreinte souligne que cette circonstance est sans incidence sur la qualification de ces opérations de traitement, cette suppression ayant lieu, par définition, postérieurement à la collecte et au traitement des données.

60. En deuxième lieu, la formation restreinte considère qu’il convient d’analyser chacune des finalités invoquées par la société pour procéder à l’enregistrement intégral et systématique des conversations visées au paragraphe 50 de la présente délibération, afin de déterminer si les données collectées apparaissent bien adéquates, pertinentes et limitées à ce qui est nécessaire au regard de ces finalités.

61. S’agissant de l’enregistrement intégral et systématique des appels téléphoniques à des fins de contrôle de la qualité du service et de formation, la formation restreinte relève tout d’abord que la société n’apporte aucun élément permettant de justifier de la nécessité d’enregistrer l’intégralité des conversations susvisées à cette fin. La formation restreinte considère ensuite que la finalité visant à contrôler la qualité du service fourni par les standardistes et les voyants peut être atteinte par un moyen moins intrusif tel un enregistrement ponctuel et aléatoire.

62. Dès lors, la formation restreinte considère que l’instauration d’un dispositif d’enregistrement systématique des appels téléphoniques passés, d’une part, entre les voyants et les clients et, d’autre part, entre les standardistes et les clients est excessif au regard de la finalité poursuivie.

[… passage central omis : décision trop longue pour une cellule …]

127. La formation restreinte relève par ailleurs que, pour l’envoi de courriers électroniques et SMS aux personnes dont les données ont été recueillies par la société [Y], la société [X] a indiqué ne pas recueillir le consentement préalable des personnes concernées, estimant que ce recueil aurait déjà été effectué pour son compte lors de la collecte des données par la société [Y].

128. En premier lieu, s’agissant de l’accord de responsabilité conjointe existant entre les sociétés [X] et [Y], et dont la société se prévaut dans ce cadre, la formation restreinte rappelle que, malgré le statut de responsables conjoints défini contractuellement par les deux sociétés pour la gestion de leur base de données commune contenant les données de leurs clients et prospects, chaque société est responsable des opérations effectuées pour son propre compte à partir de cette base, notamment les opérations de prospection commerciale (CNIL, FR, 28 décembre 2021, Sanction, SAN-2021-021, publié).

129. Dès lors, l’existence d’un tel accord n’exonère pas les sociétés signataires de la nécessité de disposer du consentement libre, spécifique, éclairé et univoque des personnes concernées pour l’utilisation de leurs données à des fins de prospection commerciale par voie électronique, lorsque celles-ci n’ont pas été recueillies directement par l’organisme prospecteur.

130. En second lieu, s’agissant de la validité du consentement recueilli par la société [Y], et dont la société [X] se prévaut pour fonder ses opérations de prospection commerciale par voie électronique, la formation restreinte observe qu’il ressort des constatations réalisées lors du contrôle en ligne du 15 novembre 2021 que le formulaire mis en œuvre par la société [Y] à partir du site web […] comportait une case à cocher autorisant sans distinction la prospection par la société [Y], pour son propre compte, et celle susceptible d’être réalisée par ses partenaires, sans les identifier.

131. En effet, la formation restreinte relève d’abord que le texte accompagnant cette case ( » en cochant cette case, vous acceptez de recevoir de la part de [Y] et de ses Partenaires, par email, téléphone et SMS, des offres liées à la voyance « ) ne mentionnait pas la société [X] et qu’il ne comportait pas davantage de lien URL permettant d’accéder à la liste des partenaires auxquels les données étaient susceptibles d’être transmises. La formation restreinte observe ensuite que, si un lien intitulé  » en savoir plus  » permettait d’obtenir des informations complémentaires en lien avec l’existence de partenaires, ces informations n’étaient toutefois pas facilement accessibles. En effet, ce lien  » en savoir plus  » était situé plus loin sur le formulaire d’inscription, à la fin d’une mention informant les personnes concernées de leur possibilité de se désinscrire pour ne plus recevoir d’emails ou de SMS. En utilisant le lien  » en savoir plus « , il était possible d’accéder à une page  » en savoir plus sur le traitement de vos données personnelles et vos droits « , qui mentionne que  » le traitement des données à caractère personnel collectées par […] est géré par la société [Y] et par son partenaire la société [X] « . Ce lien, situé à distance de la case à cocher et qui, par la couleur de sa police et son positionnement, se confondait avec l’adresse de courrier électronique du délégué à la protection des données qui le précédait, ne permettait pas aux utilisateurs d’être informés clairement de l’identité du prospecteur auquel les données étaient susceptibles