La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Philippe-Pierre CABOURDIN, président, M. Vincent LESCLOUS, vice-président et Mmes Laurence FRANCESCHINI et Isabelle LATOURNARIE-WILLEMS, membres ;

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;

Vu le code des postes et des communications électroniques ;

Vu la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;

Vu le décret no 2019-536 du 29 mai 2019 pris pour l’application de la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;

Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;

Vu la décision n° 2022-129C du 21 juin 2022 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements mis en œuvre par la société SOLOCAL GROUPE et ses filiales, notamment la société SOLOCAL et la société SOLOCAL MARKETING SERVICES ou pour leur compte, en tout lieu susceptible d’être concerné par leur mise en œuvre ;

Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés du 17 juin 2024 portant désignation d’un rapporteur devant la formation restreinte ;

Vu le rapport de M. Fabien TARISSAN, commissaire rapporteur, signifié à la société SOLOCAL MARKETING SERVICES le 18 juillet 2024 ;

Vu les observations écrites versées par le Conseil de la société SOLOCAL MARKETING SERVICES le 6 septembre 2024 ;

Vu la réponse du rapporteur à ces observations, signifiée à la société le 4 octobre 2024 ;

Vu les nouvelles observations écrites versées par le Conseil de la société SOLOCAL MARKETING SERVICES le 4 novembre 2024 ;

Vu la clôture de l’instruction du 28 novembre 2024, signifiée à la société le 3 décembre 2024 ;

Vu le courrier du président de la formation restreinte du 2 décembre 2024, informant la société que le dossier était inscrit à l’ordre du jour de la formation restreinte du 19 décembre 2024 ;

Vu les observations orales formulées lors de la séance de la formation restreinte du 19 décembre 2024 ;

Vu les autres pièces du dossier ;

Étaient présents, lors de la séance de la formation restreinte du 19 décembre 2024 :

– M. Fabien TARISSAN, commissaire, entendu en son rapport ;

En qualité de représentants de la société SOLOCAL MARKETING SERVICES :

– […]

Le président ayant vérifié l’identité des représentants du mis en cause, présenté le déroulé de la séance et rappelé que les mis en cause peuvent, s’ils le souhaitent, présenter des observations orales introductives ou en réponse aux questions des membres de la formation restreinte ;

La société SOLOCAL MARKETING SERVICES ayant eu la parole en dernier ;

La formation restreinte a adopté la décision suivante :

I. FAITS ET PROCÉDURE

1. La société SOLOCAL MARKETING SERVICES (ci-après, « la société « ou « la société SOMS « ), société anonyme à conseil d’administration dont le siège social est situé 204 rond-point du Pont de Sèvres à Boulogne-Billancourt (92100), est une filiale de la société SOLOCAL GROUPE, anciennement PAGES JAUNES GROUPE (ci-après le groupe).

2. La société SOMS employait, au 31 décembre 2023, 309 salariés. En 2022, elle a réalisé un chiffre d’affaires de 79,4 millions d’euros, pour un résultat net de 19,3 millions d’euros. Pour l’année 2023, ce chiffre d’affaires s’est élevé à 76,3 millions d’euros, pour un résultat net de 16,3 millions d’euros.

3. Créée en 1999 sous le nom de PAGES JAUNES MARKETING SERVICES (devenu SOLOCAL MARKETING SERVICES) en tant que filiale dédiée à l’activité de marketing direct du groupe, la société a indiqué avoir aujourd’hui pour activité principale la conception de sites web. Elle a néanmoins précisé procéder toujours, en parallèle, à la vente de produits de marketing direct, laquelle recouvre deux types de prestations.

4. D’une part, la société réalise des opérations de prospection commerciale par l’envoi de courriers électroniques et de SMS à destination de prospects, au bénéfice d’environ 300 clients directs. En 2022, elle a adressé à plus de 4,7 millions de personnes, pour ses clients, des SMS de prospection, et plus de 500 000 personnes ont été démarchés par courrier électronique.

5. D’autre part, la société transmet à ses clients des données de prospects, afin de permettre à ceux-ci de réaliser eux-mêmes des opérations de prospection commerciale par voie postale et téléphonique. Sur les dix premiers mois de l’année 2022, près d’1,4 million de personnes ont ainsi vu leurs données transférées.

6. L’ensemble de ces opérations est réalisé à partir d’une unique base de données, dénommée […] (ou […] au sein des conditions générales de vente), constituée par la société au moyen de données transmises et mises à jour régulièrement par une quinzaine de fournisseurs de données, tels que les sociétés [X1], [X2] ou [X3], ainsi que par la société [X4] s’agissant des adresses postales et numéros de téléphone fixe des prospects. Cette base, qui compte environ 75 millions d’entrées, contient les données de près de 35 millions de personnes distinctes. La société a précisé ne traiter que les données de ressortissants français, au bénéfice d’annonceurs français.

7. Les 18 et 19 octobre 2022, une délégation de la Commission nationale de l’informatique et des libertés (ci-après, « la CNIL « ou « la Commission « ) a procédé à un contrôle sur place dans les locaux de la société SOLOCAL GROUPE et de ses filiales, notamment la société SOLOCAL MARKETING SERVICES. Cette opération avait pour but de vérifier le respect des dispositions de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés (ci-après, « la loi Informatique et Libertés « ou « loi du 6 janvier 1978 modifiée « ) et des autres dispositions relatives à la protection des données personnelles prévues par les textes législatifs et réglementaires et le droit de l’Union européenne. Le procès-verbal dressé à l’issue a été notifié à la société SOLOCAL MARKETING SERVICES le 25 octobre 2022.

8. La société a communiqué à la délégation des éléments complémentaires les 27 octobre 2022, 2 février et 15 juin 2023 et 2 juillet 2024.

9. Aux fins d’instruction de ces éléments, la présidente de la Commission a, le 17 juin 2024, désigné M. Fabien TARISSAN en qualité de rapporteur sur le fondement de l’article 22 de la loi du 6 janvier 1978 modifiée.

10. Le 18 juillet 2024, à l’issue de son instruction, le rapporteur a fait signifier à la société un rapport détaillant les manquements aux articles L. 34-5 du code des postes et des communications électroniques (ci-après, « le CPCE « ), 6 et 7 du règlement (UE) 2016/679 du 27 avril 2016 (ci-après, « le RGPD « ) qu’il estimait constitués en l’espèce. Ce rapport proposait à la formation restreinte de prononcer à l’encontre de la société une amende administrative, ainsi qu’une injonction de mettre en conformité ses pratiques avec les dispositions susvisées, assortie d’une astreinte. Il proposait également que cette décision soit rendue publique mais qu’il ne soit plus possible d’identifier nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.

11. Plusieurs échanges d’écritures ont par la suite eu lieu entre le rapporteur et la société, jusqu’à la clôture de l’instruction signifiée à la société le 3 décembre 2024.

12. A l’issue de la procédure contradictoire écrite, le rapporteur et la société ont présenté des observations orales lors de la séance de la formation restreinte.

II. MOTIFS DE LA DECISION

A. Sur les traitements en cause et la responsabilité de la société

13. L’article 4, paragraphe 7 du RGPD définit le responsable de traitement comme « la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement .

14. La formation restreinte relève que, dans l’écosystème de la prospection commerciale, la qualité à conférer aux différents acteurs de la chaîne en matière de responsabilité de traitement – à savoir à l’annonceur pour le compte duquel la prospection électronique est adressée et à l’intermédiaire intervenant entre lui et le primo-collectant, qui peut notamment être chargé de l’envoi des messages de prospection électronique pour l’annonceur – dépend d’un certain nombre de paramètres (comme par exemple la propriété de la base de données, ses modalités de constitution et de gestion, les choix opérés en matière de segmentation ou encore le degré et la précision des instructions données par l’annonceur). Ces attribution et répartition des responsabilités entre les différents acteurs peuvent varier en fonction des rôles et des actions menées par chacun, selon les cas d’espèce, et elles doivent par conséquent faire l’objet d’une analyse au cas par cas. La qualification retenue par les acteurs eux-mêmes, notamment dans leurs actes contractuels, constitue un élément important à prendre en compte, mais non déterminant s’il ne correspond pas à la réalité des critères de l’article 4 du RGPD. En fonction des cas de figure, peuvent être qualifiés de responsables de traitement l’annonceur, c’est-à-dire l’entité souhaitant promouvoir ses produits ou services (v. CNIL, FR, 3 août 2022, n° SAN-2022-017, publié ; CNIL, 24 novembre 2022, n° SAN-2022-021, publié ; CNIL, FR, 12 octobre 2023, n° SAN-2023-015, publié ; CE, 23 mars 2015, GROUPE DSE, n° 357556, Rec.) ou encore certains prestataires spécialisés offrant des services publicitaires et produits de marketing (v. CE, 11 mars 2015, TUTO4PC, n° 368624, T ; CNIL, FR, 7 décembre 2020, SAN-2020-016, publié). Parmi ces prestataires figurent des sociétés constituant des bases de données de contact à partir de diverses sources tierces (appelées « primo-collectants « ), qu’elles revendent à des partenaires ou utilisent pour proposer des prestations de prospection commerciale à des annonceurs. Ces acteurs peuvent, selon les configurations, être sous-traitants de l’annonceur ou responsables de traitement des opérations de prospection, sans exclure une possible coresponsabilité entre l’annonceur et son prestataire.

15. En matière de prospection commerciale, la formation restreinte a par exemple retenu la qualité de responsable de traitement d’un organisme ayant pour activité la constitution d’une base de données de contacts destinés à la prospection commerciale par voie électronique ainsi que l’envoi de courriers électroniques de prospection au bénéfice d’annonceurs, sur la base des éléments suivants : « en premier lieu, s’agissant de la détermination des finalités, la formation restreinte relève que […] la société est propriétaire de la base de données utilisée dans le cadre des campagnes de prospection, les annonceurs et agences web ne fournissant pas les données à caractère personnel des prospects à contacter et n’ayant pas accès aux données à caractère personnel des prospects. En second lieu, la formation restreinte considère que la société détermine les moyens essentiels du traitement en ce qu’elle définit les données personnelles qui figurent dans sa base de prospects, les durées pendant lesquelles ces données y sont conservées et les éventuelles mises à jour devant être opérées. En conséquence, et sans qu’en l’espèce il soit nécessaire de se prononcer sur une éventuelle responsabilité conjointe des partenaires annonceurs de la société […], la formation restreinte retient que cette dernière a défini les finalités et les moyens du traitement lié à la gestion et la mise à disposition de sa base de données personnelles à des fins de prospection commerciale par courrier électronique « (CNIL, FR, 7 décembre 2020, SAN-2020-016, publié).

16. En l’espèce, la formation restreinte relève que les services proposés par la société SOMS et examinés dans le cadre de la présente procédure sont au nombre de deux.

17. Premièrement, la société propose à ses clients annonceurs un service consistant à réaliser, pour leur compte, des campagnes de prospection par courrier électronique (offre « EmailConnect « ) ou par SMS (offre « ContactConnect « ).

18. A cet égard, la formation restreinte observe qu’il ressort des conditions générales de vente des offres proposées par la société SOMS que « dans le cas où les données traitées proviennent de la base SOMS, les parties [la société SOMS et les annonceurs] reconnaissent agir en tant que responsables conjoints de traitement. Dans le cas où les données traitées proviennent du fichier contacts du client, les parties reconnaissent que le client agit en tant que responsable du traitement des données à caractère personnel, SOMS agissant en tant que sous-traitant .

19. S’il est ainsi prévu que ces campagnes peuvent, en théorie, cibler des prospects dont les données auraient été transmises à la société SOMS par ses clients, il ressort des éléments du dossier qu’en pratique, dans l’immense majorité des cas, ces opérations sont réalisées à partir des données issues de la base […] (ou base […]), que la société a elle-même constituée à partir de données de prospects transmises par ses partenaires et dont elle est propriétaire. En pareille hypothèse, les clients de la société, non seulement ne fournissent pas les données utilisées, mais n’y ont en outre pas accès.

20. La formation restreinte relève ainsi que, d’une part, la société définit les données qui figurent dans sa base […], qu’elle collecte auprès de différents partenaires, les durées pendant lesquelles ces données sont conservées et les finalités de leur usage. Elle est donc responsable de traitement de la constitution et de l’administration de cette base de données, ce qu’elle reconnait.

21. D’autre part, la société propose à ses clients de réaliser des opérations de prospection commerciale par voie électronique. Il ressort des pièces du dossier que, s’agissant de ces opérations, la société agit au moins en partie comme responsable de traitement, lorsque ces opérations sont réalisées à partir des données issues de la base […] (ou base […]). A cet égard, pour ce cas, il convient de souligner qu’outre les mentions figurant au sein des conditions générales de vente, la société a confirmé sa qualité de responsable de traitement, d’abord à l’occasion du contrôle réalisé le 18 octobre 2022, puis dans le cadre de ses observations en réponse au rapport de sanction. Par ailleurs, et sans qu’il soit nécessaire en l’espèce de se prononcer sur l’éventuelle responsabilité conjointe de ses clients, la formation restreinte observe que cette responsabilité de SOMS n’exclut pas celle des annonceurs, agissant comme responsables conjoints du traitement, ce que la société indique d’ailleurs dans ses conditions générales de vente. Il est également possible que dans certains cas la société SOMS agisse comme sous-traitante de ses clients, mais ces hypothèses ne sont pas en cause en l’espèce.

22. Au vu de l’ensemble de ce qui précède, la formation restreinte entend préciser que, s’agissant de ces opérations de prospection électronique réalisées par la société au bénéfice de clients annonceurs, à partir de sa base, la présente décision concerne exclusivement les traitements pour lesquels la société SOMS est, et se reconnait, responsable de traitement.

23. Deuxièmement, la formation restreinte relève que, dans le cadre de son offre « ListConnect « , la société transmet à ses clients les données issues de sa base […], en leur concédant un certain nombre de droits sur ces données et notamment celui de les utiliser à des fins de prospection commerciale par voie postale et par téléphone.

24. La formation restreinte estime qu’en transmettant à ses clients un segment ciblé de données issues d’une base qu’elle a elle-même constituée et dont elle est propriétaire, et en déterminant contractuellement l’usage pouvant être fait de ces données, la société détermine à la fois les finalités et les moyens d’une telle opération. Celle-ci a à cet égard confirmé endosser cette qualité de responsable de traitement s’agissant de la transmission de ces données.

25. Dans ces conditions, la formation restreinte considère que la société doit être regardée comme responsable de traitement, tant pour les opérations de prospection commerciale par voie électronique réalisées au bénéfice de ses clients à partir de sa base de données – nonobstant l’éventuelle responsabilité conjointe desdits clients et à l’exclusion de cas où elle n’agirait qu’en qualité de sous-traitant – que pour la transmission de données de prospects à des annonceurs, afin qu’ils réalisent eux-mêmes de la prospection commerciale par voie postale ou téléphonique.

B. Sur la régularité de la procédure menée à l’encontre de la société

1) Sur le grief tiré de la méconnaissance du droit à un procès équitable

26. La société fait valoir que la manière dont a été menée l’instruction porte atteinte à son droit à un procès équitable, garanti par l’article 6 de la Convention européenne des droits de l’homme, et qui implique non seulement le respect du contradictoire mais également la possibilité pour la société de pouvoir raisonnablement présenter sa cause. Elle considère notamment que ses observations n’ont pas été suffisamment prises en considération par le rapporteur et que les raisonnements tenus par ce dernier ne tiennent pas compte des faits de l’espèce et de la pratique de la société.

27. La société soutient en outre que, s’agissant du manquement à l’article 6 du RGPD, le rapporteur a, dans sa réponse, soulevé un nouveau moyen tiré de l’insuffisance présumée de l’information communiquée aux personnes, abandonnant le fondement de l’intérêt légitime et ne tenant pas compte des observations présentées par la société.

28. Premièrement, la formation restreinte rappelle que le principe du contradictoire implique le droit pour les parties de se voir communiquer et de pouvoir discuter de toute pièce ou observation présentée au juge en vue d’influencer sa décision (CEDH, Grande Chambre, 20 février 1996, Vermeulen c. Belgique, n° 19075/91).

29. La formation restreinte relève que, pour établir son rapport, le rapporteur s’est fondé sur les éléments recueillis à l’occasion de contrôles menés dans le respect des dispositions de la loi Informatique et Libertés, et qu’il a examiné les faits constatés à la lumière des règles applicables en matière de protection des données à caractère personnel. Elle observe que la société a eu connaissance de l’ensemble de ces éléments et qu’elle a pu formuler des observations, d’abord écrites – plusieurs échanges d’écritures ayant eu lieu au cours de l’instruction -, puis orales lors de la séance du 19 décembre 2024.

30. Deuxièmement, s’agissant du manquement à l’article 6 du RGPD, la formation restreinte relève qu’il sera examiné au II, D) de la présente délibération. Elle observe néanmoins d’ores et déjà que, contrairement à ce que soutient la société, il ne ressort ni des écritures du rapporteur, ni de ses observations orales lors de la séance du 19 décembre 2024, qu’il aurait entendu soulever de nouveaux moyens ou changer le fondement du manquement initialement relevé dans son rapport, ses observations relatives à l’information des personnes s’inscrivant, parmi d’autres éléments, dans le cadre de l’appréciation des conditions devant être réunies pour que puisse s’appliquer la base légale de l’intérêt légitime. En tout état de cause, il est loisible au rapporteur de modifier le fondement juridique d’un manquement ou son analyse juridique en cours de procédure, si la société est mise en mesure d’y répondre. Il apparait en l’espèce que la société a bien été mise en mesure de répondre à l’ensemble des moyens soulevés.

31. Plus généralement, la formation restreinte rappelle qu’il lui revient, en application de l’article 20-IV de la loi Informatique et Libertés et au regard de l’ensemble des éléments qui lui sont présentés, à la fois par le rapporteur et par la société, de décider si les manquements relevés apparaissent ou non constitués et de prononcer, s’il y a lieu, la ou les mesures correctrices qui lui paraissent justifiées. Elle relève qu’en l’espèce, l’ensemble des écritures et pièces produites à la fois par la société et par le rapporteur ont bien été portées à sa connaissance et qu’elle dispose ainsi des éléments nécessaires lui permettant de se prononcer sur le traitement en cause.

32. Dans ces conditions, la formation restreinte considère que le droit à un procès équitable n’a pas été méconnu et que la procédure a été menée de manière régulière, dans le respect des règles procédurales définies aux articles 22 de la loi Informatique et Libertés, 39 à 45 du décret du 29 mai 2019 et 61 à 70-1 du règlement intérieur de la CNIL.

2) Sur le grief tiré de l’atteinte au principe de sécurité juridique et au principe de légalité des délits et des peines

33. La société considère que le contenu des écritures du rapporteur porte atteinte au principe de sécurité juridique (principe général du droit de l’Union consacré par la Cour de justice de l’Union européenne, ci-après « la CJUE « ), ainsi qu’au principe de légalité des délits et des peines, garanti par les articles 8 de la Déclaration des droits de l’homme et du citoyen, 7 de la Convention européenne des droits de l’homme et 49 de la Charte des droits fondamentaux de l’Union. Elle souligne que les règles dont le rapporteur entend faire application n’étaient pas suffisamment claires à l’époque du contrôle dont elle a fait l’objet et que la CNIL n’avait publié aucune recommandation relative au recueil du consentement dans le secteur du marketing, comme elle l’a fait dans d’autres secteurs (par exemple, les cookies ou les applications mobiles). Elle fait par ailleurs valoir que certaines décisions citées par le rapporteur sont postérieures au contrôle et que dans la mesure où elles posent des règles plus sévères, leur application aux faits de l’espèce serait contraire au principe de non-rétroactivité.

34. La formation restreinte entend préciser que le cadre juridique applicable sera examiné, au sein de la présente délibération, pour chacun des manquements relevés. Elle rappelle néanmoins d’ores et déjà que les décisions visées par la société comme étant postérieures aux opérations de contrôle ne constituent que l’application de règles pré-existantes et ne sauraient, dans ces conditions, se voir opposer le principe de non-rétroactivité des règles répressives, qui ne concerne que les règles à caractère impératif.

35. Elle souligne également que, si la CNIL dispose de pouvoirs de publication de « lignes directrices, recommandations ou référentiels destinés à faciliter la mise en conformité des traitements de données à caractère personnel avec les textes relatifs à la protection des données à caractère personnel « (en application de l’article 8, paragraphe 2, b) de la loi Informatique et Libertés), les règles juridiques sont fixées par les législateurs français et européen et interprétées par les juridictions compétentes, et sont directement applicables aux organismes concernés. Dès lors, l’adoption par la CNIL de référentiels ou lignes directrices n’est pas un préalable à l’obligation de respecter les règles déjà édictées et à l’application de sanctions prévues par le RGPD ou la loi Informatique et Libertés en cas de violation. La formation restreinte relève par ailleurs qu’en l’espèce, les règles établies en matière de prospection commerciale, éclairées par les publications de la CNIL telles son référentiel gestion commerciale adopté en septembre 2021 et les pages dédiées à la question sur son site web, ainsi que par les lignes directrices 5/2020 sur le consentement au sens du règlement (UE) 2016/679 adoptées par le Comité européen de la protection des données (ci-après, « le CEPD « ), permettaient aux acteurs d’appréhender, de manière suffisamment précise, le cadre juridique applicable et les obligations pesant sur eux.

36. Enfin, la formation restreinte entend souligner qu’il ressort du principe de responsabilité, tel que défini par le RGPD, qu’il appartient à l’organisme réalisant les traitements de définir et mettre en œuvre les mesures permettant le respect des dispositions légales applicables. A cet égard, le considérant 74 du RGPD dispose qu’ »il y a lieu d’instaurer la responsabilité du responsable du traitement pour tout traitement de données à caractère personnel qu’il effectue lui-même ou qui est réalisé pour son compte. Il importe, en particulier, que le responsable du traitement soit tenu de mettre en œuvre des mesures appropriées et effectives et soit à même de démontrer la conformité des activités de traitement avec le présent règlement, y compris l’efficacité des mesures. Ces mesures devraient tenir compte de la nature, de la portée, du contexte et des finalités du traitement ainsi que du risque que celui-ci présente pour les droits et libertés des personnes physiques . Il apparait ainsi que c’est bien aux responsables de traitement – et non aux autorités de protection des données – qu’il appartient de déterminer les modalités pratiques de mise en œuvre des traitements qui leur paraissent les plus adaptées, à la condition que ces modalités leur permettent de démontrer le respect des obligations posées par les textes nationaux et européens.

C. Sur les manquements relatifs aux opérations de prospection commerciale par voie électronique réalisées par la société au bénéfice de ses clients

37. La formation restreinte relève que la société réalise des opérations de prospection commerciale par SMS et courrier électronique, au bénéfice d’environ 300 clients, à partir de données de prospects transmises par ses partenaires. Le cycle de vie de ces données peut ainsi être résumé de la manière suivante : les données sont collectées auprès des personnes concernées par des sociétés telles que [X2], [X1] ou encore [X3] (appelées « primo-collectants « ), chargées contractuellement de recueillir le consentement des personnes concernées à faire l’objet de prospection commerciale par voie électronique. La collecte de ces données et le recueil du consentement s’effectuent par le biais de formulaires de participation à des jeux-concours en ligne, conçus par ces sociétés. Ensuite, ces données sont transmises à la société SOMS, qui les intègre dans sa base […] puis les utilise pour réaliser des opérations de prospection commerciale par voie électronique au bénéfice de ses clients. Pour ce faire, elle se fonde sur le consentement préalablement recueilli par ses partenaires primo-collectants, pour son compte, à partir des formulaires précités. Au cours de l’année 2022, la société a ainsi démarché par SMS plus de 4,7 millions de personnes uniques dont les données lui ont été transmises par ses partenaires, et plus de 500 000 par courriel.

Sur le manquement à l’obligation de recueillir le consentement des personnes concernées pour la mise en œuvre de prospection commerciale par voie électronique en application de l’article L. 34-5 du code des postes et des communications électroniques (données fournies par les sociétés [X1] et [X2])

38. Aux termes de l’article L. 34-5 du CPCE, « est interdite la prospection directe au moyen de système automatisé de communications électroniques au sens du 6° de l’article L. 32, d’un télécopieur ou de courriers électroniques utilisant les coordonnées d’une personne physique, abonné ou utilisateur, qui n’a pas exprimé préalablement son consentement à recevoir des prospections directes par ce moyen.

Pour l’application du présent article, on entend par consentement toute manifestation de volonté libre, spécifique et informée par laquelle une personne accepte que des données à caractère personnel la concernant soient utilisées à fin de prospection directe.

Constitue une prospection directe l’envoi de tout message destiné à promouvoir, directement ou indirectement, des biens, des services ou l’image d’une personne vendant des biens ou fournissant des services. Pour l’application du présent article, les appels et messages ayant pour objet d’inciter l’utilisateur ou l’abonné à appeler un numéro surtaxé ou à envoyer un message textuel surtaxé relèvent également de la prospection directe […] .

39. Aux termes de l’article 4, paragraphe 11 du RGPD, on entend par « consentement « de la personne concernée « toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l’objet d’un traitement .

[… passage central omis : décision trop longue pour une cellule …]

98. Le consentement préalable des abonnés à un opérateur de téléphonie mobile est requis pour toute inscription dans les listes d’abonnés ou d’utilisateurs établies par leur opérateur mobile, destinées à être publiées dans les annuaires ou consultables par l’intermédiaire d’un service de renseigne-ments, de données à caractère personnel les concernant.

99. Sur toute demande présentée en vue d’éditer un annuaire universel ou de fournir un service universel de renseignements, même limitée à une zone géographique déterminée, les opérateurs sont tenus de communiquer, dans des conditions non discriminatoires et à un tarif reflétant les coûts du service rendu, la liste de tous les abonnés ou utilisateurs auxquels ils ont affecté, directe-ment ou par l’intermédiaire d’un distributeur, un ou plusieurs numéros du plan national de numé-rotation téléphonique prévu à l’article L. 44. (…)  »

100. L’article R. 10 du même code dispose que « toute personne ayant souscrit un abonnement au service téléphonique au public a le droit de figurer gratuitement sur une liste d’abonnés ou d’utili-sateurs destinée à être publiée. Elle peut obtenir gratuitement de l’opérateur auprès duquel elle est abonnée ou du distributeur de son service :

1. De ne pas être mentionnée sur les listes d’abonnés ou d’utilisateurs publiées ou susceptibles d’être consultées par les services de renseignements ;

2. Que ces listes ne comportent pas l’adresse complète de son domicile sauf lorsque l’activité pro-fessionnelle mentionnée consiste à fournir des biens ou des services aux consommateurs ;

(…)

4. Que les données à caractère personnel la concernant issues des listes d’abonnés ou d’utilisa-teurs ne soient pas utilisées dans des opérations de prospection directe soit par voie postale, soit par voie de communications électroniques, sans préjudice des dispositions de l’article L. 34-5, à l’exception des opérations concernant la fourniture du service téléphonique au public et relevant de la relation contractuelle entre l’opérateur et l’abonné.

(…) Le consentement préalable des abonnés à un opérateur de téléphonie mobile est requis pour toute inscription de données à caractère personnel les concernant dans les listes d’abonnés ou d’utilisateurs mentionnées au premier alinéa. A défaut, ils bénéficient de plein droit des disposi-tions du 1 ci-dessus. (…)  »

101. Il résulte des dispositions du I de l’article R. 10-3 du même code que les listes fournies aux éditeurs d’annuaire comportent « les noms, prénoms et, le cas échéant, les raisons sociales ou dénominations sociales, adresses et numéros de téléphone des abonnés au service téléphonique au public et de ses utilisateurs « et que ces listes « font apparaître les oppositions que les abonnés ou utilisateurs ont formulées en application de l’article R. 10.

102. Aux termes du premier alinéa du II de l’article R. 10-4, « l’usage des listes obtenues par application du quatrième alinéa de l’article L. 34 à d’autres fins que la fourniture d’annuaires universels ou de services universels de renseignements téléphoniques est interdit. Sauf stipulations contractuelles contraires, toute vente des listes obtenues par application du quatrième alinéa de l’article L. 34 est interdite.

103. Enfin, dans son avis n° 2002-145 du 21 février 2002 sur le projet de décret relatif à l’annuaire universel et modifiant le code des postes et télécommunications, l’Autorité de régulation des télécommunications (devenue l’Autorité de régulation des communications électroniques, des postes et de la distribution de la presse, ci-après « ARCEP « ) a mis en évidence l’existence de « deux marchés, avec des régimes de cession des listes différents :