Par une décision du 20 mai 2026, le Conseil d’Etat a réformé la délibération de la formation restreinte en ramenant le montant de la sanction à 50 000 euros, considérant que la formation restreinte, en substituant dans sa décision le manquement à l’article 5 du RGPD retenu dans le rapport de sanction par un manquement à l’article 6 du RGPD, a méconnu les droits de la société qui n’a pas pu formuler d’observations en réponse sur ce point. Consulter la décision n° 492836 .

La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Alexandre LINDEN, président, M. Philippe-Pierre CABOURDIN, vice-président, Mmes Isabelle LATOURNAIRE-WILLEMS et Christine MAUGÜÉ, MM. Alain DRU et Bertrand du MARAIS, membres ;

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;

Vu la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;

Vu le décret no 2019-536 du 29 mai 2019 pris pour l’application de la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;

Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;

Vu la décision n° 2022-054C du 25 mars 2022 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements mis en œuvre par la société […] ou pour son compte, en tout lieu susceptible d’être concerné par leur mise en œuvre ;

Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte, en date du 22 juin 2023 ;

Vu le rapport de Mme Valérie PEUGEOT, commissaire rapporteure, notifié à la société […] le 25 août 2023 ;

Vu les observations écrites versées par la société […] le 29 septembre 2023 ;

Vu la réponse du rapporteur notifié à la société le 20 octobre 2023 ;

Vu les observations écrites versées par la société […] le 20 novembre 2023 ;

Vu la clôture de l’instruction, notifiée à la société le 22 novembre 2023 ;

Vu les observations orales formulées lors de la séance de la formation restreinte du 7 décembre 2023 ;

Vu les autres pièces du dossier ;

Étaient présents, lors de la séance de la formation restreinte :

– Mme Valérie PEUGEOT, commissaire, entendue en son rapport ;

En qualité de représentants de la société […] :

– […].

La société […] ayant eu la parole en dernier ;

La formation restreinte a adopté la décision suivante :

I. Faits et procédure

1. La société […] (ci-après  » la société « ) est une société par actions simplifiée (SAS) au capital de 100 000 euros, sise […]. Créée en […], elle met principalement en œuvre des sites en ligne de jeux-concours et de tests de produits par lesquels elle collecte des données de prospects. Ces données sont ensuite vendues à des partenaires annonceurs effectuant des opérations de démarchage.

2. En 2016, la société […] a racheté à 100% la société […]. Créée en 2004, la société […] diffuse des newsletters qui incluent des messages commerciaux pour le compte de clients annonceurs. Les newsletters sont adressées à des prospects dont les données ont été collectées par les sites édités par la société […] ou la société […].

3. En 2023, la société […] comptait six salariés. Elle a réalisé, pour l’année 2022, un chiffre d’affaires de […] euros pour un résultat net de […] euros. Pour la période du 1er janvier 2023 au 31 août 2023, son chiffre d’affaires s’est élevé à […] euros.

4. En application de la décision n° 2022-054C du 25 mars 2022 de la présidente de la Commission, une délégation de la CNIL a effectué une mission de contrôle en ligne du site web accessible via l’URL […] afin de vérifier le respect des dispositions de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après « la loi Informatique et Libertés  » ou « loi du 6 janvier 1978 « ) et du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données (ci-après le « Règlement  » ou « RGPD « ).

5. Ce contrôle en ligne a donné lieu à un procès-verbal n° 2022-054/1 du 16 mai 2022, notifié le 27 mai 2022 à la société.

6. En application de la décision n° 2022-054C du 25 mars 2022 de la présidente de la CNIL, une délégation de la Commission a procédé à une mission de contrôle sur place de la société […]. Des procès-verbaux n° 2022-054/2 et n° 2022-054/3 des 18 et 19 mai 2022 ont été dressés et notifiés à la société par un courrier du 23 mai 2022.

7. Par des courriers des 3 et 10 juin 2022, la société a communiqué les éléments sollicités dans le cadre des contrôles en ligne et sur place. Les 13 juillet et 30 septembre 2022, la délégation de contrôle a adressé des demandes complémentaires, auxquelles la société a répondu les 26 juillet et 12 octobre 2022.

8. Le 18 octobre 2022, un second contrôle en ligne a été diligenté par les services de la CNIL. Le procès-verbal n° 2022-054/4 a été notifié le 5 décembre 2022 et la société a communiqué les éléments sollicités le 20 décembre 2022. Une dernière demande complémentaire a été adressée le 3 mai 2023, à laquelle la société a répondu le 22 mai 2023.

9. Le 22 juin 2023, la présidente de la Commission a, sur le fondement de l’article 22 de la loi du 6 janvier 1978, désigné Mme Valérie PEUGEOT en qualité de rapporteure aux fins d’instruction de ces éléments.

10. Le 25 août 2023, à l’issue de son instruction, la rapporteure a fait notifier à la société un rapport détaillant les manquements aux articles 5, 6, 30 et 32 du RGPD qu’elle estimait constitués en l’espèce. Ce rapport proposait à la formation restreinte de prononcer une amende administrative à l’encontre de la société. Il proposait également que cette décision soit rendue publique.

11. Le 29 septembre 2023, la société a produit des observations en réponse au rapport de la rapporteure.

12. Sur demande de la rapporteure et par une décision n° 2023-235C du 17 octobre 2023 de la Présidente de la CNIL, une délégation de la CNIL a procédé à un contrôle en ligne pour vérifier la conformité de tout traitement accessible à partir de l’URL « […]  » ou portant sur des données à caractère personnel collectées à partir de cette dernière. Ce contrôle a donné lieu à un procès-verbal n° 2023-235/1.

13. Le 20 octobre 2023, la réponse de la rapporteure a été notifiée à la société.

14. Le 20 novembre 2023, la société a adressé de nouvelles observations en réponse à celles de la rapporteure.

15. Par courrier du 21 novembre 2023, la rapporteure a, en application du III de l’article 40 du décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi Informatique et Libertés, informé la société que l’instruction était close.

16. La rapporteure et la société ont présenté des observations orales lors de la séance de la formation restreinte du 7 décembre 2023.

I. Motifs de la décision

A. Sur le manquement à l’obligation de disposer d’une base légale pour les traitements mis en œuvre

17. Aux termes de l’article 6, paragraphe 1, du RGPD, « Le traitement n’est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie :

a) la personne concernée a consenti au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques ;

b) le traitement est nécessaire à l’exécution d’un contrat auquel la personne concernée est partie ou à l’exécution de mesures précontractuelles prises à la demande de celle-ci ;

c) le traitement est nécessaire au respect d’une obligation légale à laquelle le responsable du traitement est soumis ;

d) le traitement est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d’une autre personne physique ;

e) le traitement est nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement ;

f) le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent une protection des données à caractère personnel, notamment lorsque la personne concernée est un enfant « .

18. En vertu de l’article 4, paragraphe 11, du RGPD, le consentement de la personne concernée s’entend de « toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l’objet d’un traitement « .

1) S’agissant des formulaires de collecte de données de prospects

19. La rapporteure relève que la société collecte des données de prospects par l’intermédiaire de formulaires de participation à des jeux-concours en ligne. Ces données sont ensuite transmises à des partenaires de la société, qui procèdent à des opérations de prospection commerciale par voie électronique. La rapporteure note également que la politique de protection des données, accessible via les sites web que la société […] édite, prévoit que la base légale de la transmission des données de prospects à des fins de prospection par voie électronique est le consentement.

20. Pour proposer à la formation restreinte de considérer que la société a méconnu ses obligations résultant de l’article 6 du RGPD, tel qu’éclairé par les dispositions de l’article 4, paragraphe 11 du RGPD, la rapporteure se fonde sur le fait que la conception de ces formulaires ne permet pas aux utilisateurs de manifester leur consentement par un acte positif clair et dénué d’ambigüité, et les incite fortement à accepter la transmission de leurs données aux partenaires de la société à des fins de prospection.

21. En défense, la société confirme qu’elle a choisi de fonder son traitement relatif à la prospection commerciale sur le recueil du consentement, que ce soit pour la prospection par voie électronique, par voie postale et par voie téléphonique. Elle précise que le recueil du consentement « à action unique  » est accompagné d’un centre de désabonnement qui permet de se désinscrire de manière complète à l’ensemble des moyens de prospection.

22. La société avait recours, successivement, à deux types de formulaire, l’un reposant sur un bouton unique, l’autre sur deux boutons.

23. S’agissant du formulaire à bouton unique, la société indique que sa conception faisait que la participation de l’internaute au jeu/concours n’était conditionnée qu’à son acceptation du règlement. Ce dernier pouvait ainsi cliquer sur le lien situé dans le texte explicatif pour participer au jeu sans accepter de transmettre ses données aux partenaires.

24. Par ailleurs, d’une manière générale, la société affirme que les deux formulaires permettaient bien aux internautes de faire un choix relatif à la transmission de leurs données, ce qui garantirait le caractère libre du consentement. Elle indique, d’une part, que la participation au jeu et le recueil du consentement pour la transmission des données sont décorrélés, d’autre part, que le consentement est spécifiquement recueilli pour la prospection commerciale. Elle précise également que les formulaires indiquent clairement les implications des clics des internautes, tout en reconnaissant que des modifications étaient nécessaires s’agissant des implications du bouton « JE REFUSE  » sur le formulaire à deux boutons. Enfin, la société affirme que le consentement serait univoque car manifesté par un clic sur le bouton, ce qui en fait bien une action positive. Lors de la séance de la formation restreinte, la société a précisé que le formulaire à bouton unique a été mis en place en 2015 mais qu’il est aujourd’hui obsolète, le formulaire à deux boutons étant effectif depuis 2017.

25. À la suite de la réception du premier rapport de la rapporteure, la société a indiqué avoir mis en place un nouveau type de formulaire, qu’elle considère conforme aux exigences du RGPD. Selon la société, le texte explicatif est parfaitement lisible et contient toutes les informations nécessaires pour l’utilisateur qui ne présente aucune vulnérabilité particulière. Elle ajoute que la position des boutons, en affichant d’abord le bouton « J’ACCEPTE  » avec un texte explicatif en caractère moins grands, telle qu’elle figure sur le nouveau formulaire, serait considérée comme « neutre « , selon les études sur les cookies produites par la CNIL, et serait donc licite. La société précise qu’il est possible de poursuivre son parcours utilisateur sans accepter de recevoir des offres de partenaires.

26. À cet égard, la société relève que la CNIL n’a publié aucune recommandation spécifique sur le secteur du marketing digital. Elle précise qu’elle a mis en place de nombreuses mesures pour assurer le respect des droits des personnes et communique des statistiques révélant un nombre très élevé de personnes « opt-in  » et un nombre peu élevé de personnes « non-opt-in « , c’est-à-dire ayant demandé à se désinscrire / ayant demandé la suppression de leurs données / ou ayant rempli un autre formulaire de jeu tout en refusant la transmission de leurs données.

27. Enfin, la société affirme qu’elle n’a jamais eu la volonté de tromper ou d’induire en erreur les prospects inscrits dans sa base de données, le succès de son activité reposant sur la qualité de ses pratiques de collecte et des personnes inscrites sur sa base de données.

28. La formation restreinte relève d’abord que, aussi bien la politique de protection des données, accessible via les sites web, que le registre des activités de traitement de la société, prévoient que la base légale de la transmission des données de prospects à des fins de prospection par voie électronique, téléphonique ou postale est le consentement, ce que confirme la société.

29. La formation restreinte rappelle que le consentement spécifique requis par les dispositions de l’article 6 du RGPD ne peut résulter que d’un consentement exprès de l’utilisateur, donné en toute connaissance de cause après une information adéquate sur l’usage qui sera fait de ses données à caractère personnel. Il convient à cet égard de s’assurer que les personnes concernées ont donné un consentement univoque, spécifique, libre et éclairé lors de la collecte de leurs données à caractère personnel par le biais des formulaires de participation à des jeux-concours.

30. La formation restreinte relève à cet égard que les travaux conduits sur les pratiques mises en œuvre en matière de cookies s’agissant des bannières de recueil du consentement peuvent utilement servir à apprécier de manière plus générale les conditions de recueil d’un consentement libre, univoque, spécifique et éclairé, et servir de référence en matière de prospection commerciale lorsqu’elle est fondée sur le recueil du consentement.

31. Par ailleurs, sur les mêmes conditions du consentement, la Cour de justice de l’Union européenne (CJUE) a précisé, dans sa décision Planet49 GmbH : « l’article 7, sous a), de la directive 95 prévoit que le consentement de la personne concernée peut rendre un tel traitement licite pour autant que ce consentement est « indubitablement  » donné par la personne concernée. Or, seul un comportement actif de la part de cette personne en vue de manifester son consentement est de nature à remplir cette exigence  » (CJUE, grande chambre, 1er octobre 2019, Planet49 GmbH, C-673/17, ECLI:EU:C:2019:801, §54). Dès lors, il convient de considérer qu’à défaut d’être donné indubitablement, le consentement doit être considéré comme faisant défaut, ce qui rend le traitement illégal pour défaut de base légale. Plus précisément sur les modalités de recueil, la CJUE affirme que « la manifestation de volonté visée à l’article 2, sous h), de la directive 95/46 doit, notamment, être « spécifique « , en ce sens qu’elle doit porter précisément sur le traitement de données concerné et ne saurait être déduite d’une manifestation de volonté ayant un objet distinct. En l’occurrence, contrairement à ce qu’a fait valoir Planet49, le fait pour un utilisateur d’activer le bouton de participation au jeu promotionnel organisé par cette société ne saurait dès lors suffire pour considérer que l’utilisateur a valablement donné son consentement au placement de cookies  » (Idem, §§ 58-59).

32. En outre, le Conseil d’Etat a retenu que « le consentement libre, spécifique, éclairé et univoque ne peut qu’être un consentement exprès de l’utilisateur, donné en toute connaissance de cause et après une information adéquate sur l’usage qui sera fait de ses données personnelles.  » (CE, 10ème et 9ème chambres réunies, 19 juin 2020, Google LLC, n° 430810, pt. 21).

33. La formation restreinte relève également, à titre d’exemple, que les lignes directrices 5/2020 sur le consentement, adoptées le 4 mai 2020 par le groupe de travail « article 29  » (devenu le Comité européen de la protection des données, ci-après « CEPD « ), précisent que le caractère libre du consentement « implique un choix et un contrôle réel pour les personnes concernées. En règle générale, le RGPD dispose que si la personne concernée n’est pas véritablement en mesure d’exercer un choix, se sent contrainte de consentir ou subira des conséquences négatives importantes si elle ne donne pas son consentement, le consentement n’est pas valable […] En termes généraux, toute pression ou influence inappropriée exercée sur la personne concernée (pouvant se manifester de différentes façons) l’empêchant d’exercer sa volonté rendra le consentement non valable « .

34. À titre d’illustration et de comparaison, dans sa délibération n° 2020-092 du 17 septembre 2020 portant adoption d’une recommandation proposant des modalités pratiques de mise en conformité en cas de recours aux « cookies et autres traceurs « , la Commission recommande ainsi aux organismes concernés de s’assurer « que les utilisateurs prennent la pleine mesure des options qui s’offrent à eux, notamment au travers du design choisi et de l’information délivrée (§ 10) […] Afin de ne pas induire en erreur les utilisateurs, la Commission recommande que les responsables de traitement s’assurent que les interfaces de recueil des choix n’intègrent pas de pratiques de design potentiellement trompeuses laissant penser aux utilisateurs que leur consentement est obligatoire ou qui mettent visuellement plus en valeur un choix plutôt qu’un autre. Il est recommandé d’utiliser des boutons et une police d’écriture de même taille, offrant la même facilité de lecture, et mis en évidence de manière identique  » (§ 34). Elle ajoute qu’il convient « d’être attentif à ce que l’information accompagnant chaque élément actionnable permettant d’exprimer un consentement ou un refus soit facilement compréhensible et ne nécessite pas d’efforts de concentration ou d’interprétation de la part de l’utilisateur. Ainsi, il est notamment recommandé de s’assurer qu’elle n’est pas rédigée de telle manière qu’une lecture rapide ou peu attentive pourrait laisser croire que l’option sélectionnée produit l’inverse de ce que les utilisateurs pensaient choisir.  » (§ 23). A défaut, le caractère univoque du consentement ne serait pas caractérisé.

35. La formation restreinte rappelle également que des études menées sur les pratiques des interfaces numériques, en particulier concernant les cookies, relèvent l’impact considérable de l’apparence des bannières de recueil du consentement sur le choix des utilisateurs, pouvant inciter ces derniers à faire des choix ne reflétant pas leurs préférences sur le partage de données.

36. En l’espèce, il ressort des pièces du dossier que la société […] transmet à des partenaires les données collectées, à savoir le nom, le prénom, la civilité, la date de naissance, l’adresse postale, de courrier électronique, le numéro de téléphone des prospects, collectés via ses sites de jeux-concours, de tests de produits et de sondages. Ces partenaires procèdent ensuite à des opérations de prospection commerciale, notamment par voie électronique, auprès de ces prospects.

37. La formation restreinte relève que, au moment des contrôles, l’accès à deux formulaires de collecte a été constaté sur les sites utilisés pour collecter les données de prospects : un formulaire à bouton unique et un formulaire à deux boutons.

38. S’agissant du formulaire à bouton unique, la formation restreinte note que sous les champs permettant aux personnes concernées d’insérer leurs coordonnées est situé un bouton unique « JE VALIDE  » sur fond vert avec une flèche. Au-dessus de ce bouton, un texte inscrit en caractères d’une taille nettement inférieure à celle utilisée pour les boutons précise qu’en cliquant sur ledit bouton, l’utilisateur accepte que les données collectées soient utilisées pour lui envoyer les offres des partenaires de la société. Des liens hypertextes permettent d’accéder à la politique de protection des données et à la liste des partenaires concernés. La fin du texte précise que si l’utilisateur souhaite continuer sans recevoir les offres des partenaires de la société, il peut cliquer sur un lien présent dans le texte (« je clique ici « ). En outre, une case à cocher est prévue pour accepter le règlement de l’opération.

39. Ainsi, l’utilisateur confronté à ce formulaire peut, soit cocher la case d’acceptation du règlement de l’opération et cliquer sur le bouton vert « JE VALIDE  » pour participer au jeu-concours tout en acceptant que ses données soient utilisées pour lui envoyer les offres des partenaires de la société, soit cocher la case d’acceptation du règlement et cliquer sur le lien « je clique ici  » permettant de continuer sans recevoir ces offres.

40. La formation restreinte considère que tel qu’il est conçu, le formulaire proposé ne permet pas aux personnes concernées d’exprimer de manière valable un choix reflétant leurs préférences en matière de transmission de données à des fins de prospection commerciale. L’aperçu global de l’interface met particulièrement en valeur le bouton « JE VALIDE  » qui, par sa taille et sa couleur se distingue des autres informations délivrées. De même, son intitulé évoque davantage la conclusion du parcours utilisateur qu’une transmission de données à des partenaires. Enfin, son emplacement et l’usage du verbe valider donnent l’impression de devoir obligatoirement être cliqué pour terminer l’inscription et participer au jeu-concours. A contrario, le lien hypertexte permettant de participer au jeu sans accepter la transmission de ses données est présenté dans le corps du texte, en caractères d’une taille nettement inférieure à celle utilisée pour les boutons et sans mise en valeur particulière, de sorte qu’il n’apparait pas intuitif qu’il est possible de participer sans cliquer sur le bouton « JE VALIDE  » et donc sans transmettre ses données à des tiers à des fins de prospection. Le consentement recueilli est donc privé de son caractère univoque et libre.

41. Tout en relevant que ce formulaire était encore accessible en mai 2022, soit au moment des contrôles de la délégation de la CNIL, la formation restreinte prend bonne note que la société n’y recourt plus de façon opérationnelle.

42. S’agissant du formulaire à double bouton mis en place depuis 2017 jusqu’à la notification du rapport de sanction en 2023, la formation restreinte note que, sous les champs permettant aux personnes concernées d’insérer leurs coordonnées, sont situés deux boutons : un bouton « JE VALIDE « , écrit en blanc sur fond rouge, et un bouton « JE REFUSE « , écrit en noir sur fond gris et dont la taille de police est inférieure à celle du bouton « JE VALIDE « . Au-dessus de ces boutons, un texte inscrit en caractères d’une taille nettement inférieure à celle utilisée pour les boutons précise qu’en cliquant sur le bouton « JE VALIDE « , l’utilisateur accepte que les données collectées soient utilisées pour lui envoyer les offres des partenaires de la société. En outre, une case à cocher est prévue pour accepter le règlement de l’opération.

43. La formation restreinte constate que sur ce formulaire, il n’est fait aucune mention des conséquences d’un clic sur le bouton « JE REFUSE « .

44. Ainsi, l’utilisateur confronté à cette interface peut, soit cocher la case d’acceptation du règlement de l’opération et cliquer sur le bouton « JE VALIDE  » pour participer au jeu-concours tout en acceptant que ses données soient utilisées pour lui envoyer les offres des partenaires de la société, soit cocher la case d’acceptation du règlement et cliquer sur le bouton « JE REFUSE  » pour continuer sans recevoir ces offres.

45. À l’instar du formulaire évoqué aux paragraphes 38 à 40 et pour les mêmes motifs, la formation restreinte considère que tel qu’il est conçu, le formulaire décrit ne permet pas de recueillir un consentement univoque et libre de l’utilisateur.

46. Elle relève en outre qu’en l’absence de toute précision sur les conséquences liées au fait de cliquer sur le bouton « JE REFUSE « , le recueil du consentement n’est pas éclairé. Ce dernier pourrait tout aussi bien signifier que le refus de transmettre ses données ne permet pas de participer au jeu-concours, ce qui n’est pas le cas en l’espèce.

47. S’agissant du nouveau formulaire proposé par la société à la suite du rapport de la rapporteure, la formation restreinte note que sous les champs permettant aux personnes concernées d’insérer leurs coordonnées sont situés deux boutons : un bouton « J’ACCEPTE « , écrit en blanc sur fond rouge, et un bouton « ÉTAPE SUIVANTE « , dont l’apparence est identique au premier. Au-dessus de ces boutons, un texte inscrit en caractères d’une taille nettement inférieure à celle utilisée pour les boutons précise qu’en cliquant sur le bouton « J’ACCEPTE « , l’utilisateur accepte que les données collectées soient utilisées pour lui envoyer les offres des partenaires de la société. En cliquant sur « ÉTAPE SUIVANTE « , il continue sans recevoir les offres des partenaires.

48. La formation restreinte considère que, bien qu’ils soient de taille, police et couleur identiques, les termes choisis incitent fortement les utilisateurs à cliquer en tout premier lieu sur « J’ACCEPTE  » placé avant le bouton « ÉTAPE SUIVANTE « . En effet, les utilisateurs sont poussés à cliquer sur le premier bouton « J’ACCEPTE  » puis le second bouton « ÉTAPE SUIVANTE  » laissant penser qu’il existe un séquençage entre ces deux boutons, le premier constituant un préalable au second, alors que le parcours des utilisateurs se poursuit en cliquant sur « J’ACCEPTE « , sans qu’il soit nécessaire de cliquer sur « ÉTAPE SUIVANTE « . La formation restreinte note que si les explications sont fournies sur les conséquences de chacune des deux options, la mise en valeur particulière des deux boutons dans le visuel global du formulaire, par rapport à l’apparence dudit texte en termes de police et de couleur, ne permet pas de compenser le risque que la personne passe directement du remplissage des champs au bouton « J’ACCEPTE  » sans en mesurer les conséquences.

49. La formation restreinte considère ainsi que les formulaires n’éclairent pas suffisamment les personnes concernées sur le fait qu’elles consentent à la transmission de leurs données à des fins de prospection commerciale, dans un contexte où l’objet même de ces sites web est d’offrir une perspective de gains ne pouvant laisser supposer l’objectif de collecte pérenne de ces données à de telles fins. Ces personnes ne sont pas mises en mesure de manifester leur consentement par un acte positif clair et dénué d’ambigüité.

50. La formation restreinte considère, dans ces conditions, que la société […] ne dispose pas, pour transmettre les données de prospects à ses partenaires aux fins de réaliser des opérations de prospection commerciale, d’un consentement valide au sens des articles 6 et 4 du RGPD.

51. En outre et pour les mêmes motifs, la formation restreinte considère que le consentement recueilli par le biais du dernier formulaire proposé par la société au cours de l’instruction ne répond pas aux exigences du RGPD et que le manquement à l’article 6 du RGPD persiste.

2) S’agissant de la transmission de données de prospects aux partenaires

52. La rapporteure note que la société […] transmet des données de prospects à des partenaires à des fins de démarchage par voie postale ou électronique. La rapporteure note que la politique de protection des données à caractère personnel, accessible via le site web de la société, précise que la base légale de la transmission des données aux partenaires de […] aux fins de prospection « par courrier postal ou par télémarketing  » est le consentement.

53. La rapporteure observe que le fait de ne pas consentir à la transmission de ses données permet bien à l’utilisateur d’empêcher la transmission de son adresse électronique. Toutefois, la rapporteure relève que, malgré l’absence de consentement, l’adresse postale ou le numéro de téléphone est transmis aux partenaires à des fins de prospection par voie postale ou par téléphone.

54. La rapporteure considère donc que la société a procédé à un traitement déloyal des données de prospects n’ayant pas consenti à leur transmission aux partenaires, ce qui constitue un traitement déloyal, contraire à l’article 5, paragraphe 1, a) du RGPD.

55. En défense, la société affirme qu’elle transmet des données à ses partenaires d’une part, à des fins de prospection commerciale et d’autre part, pour la réalisation d’opérations techniques et de qualification, cette dernière finalité relavant de l’intérêt légitime. La transmission des exports de base de données se fait via un « dessin d’enregistrement  » propre à chaque partenaire. Ces dessins d’enregistrement peuvent comporter, ou non, une colonne relative au statut de « l’opt-in prospect « . Si la colonne est présente, l’ensemble des données est transmis, la colonne devant encadrer l’utilisation des données de prospects (s’il est indiqué « opt-in = 0 « , le partenaire ne doit pas prospecter sur les données transmises mais se contentera de réaliser les opérations techniques et de qualification). S’il n’y a pas de colonne, l’adresse courriel et le numéro de téléphone du prospect ne sont pas transmis et le partenaire ne recevra que les coordonnées postales pour les opérations techniques et de qualification.

56. La société soutient que l’exploitation des données postales alors que les prospects ont refusé la transmission de leurs données n’est pas le résultat d’un fait généralisé et qu’elle a découvert l’existence de cette pratique au moment du contrôle. Elle ajoute que si certains partenaires ont procédé de la sorte, cette situation ne concerne pas tous les partenaires, ne présente pas un caractère intentionnel de la part de […] et ne lui apporte d’ailleurs aucun avantage économique.

57. Enfin, la société précise qu’elle ne transmet plus à ses partenaires, depuis le 1er février 2023, les données de prospects n’ayant pas donné leur consentement ( « non-opt-in  » ) .

58. La formation restreinte relève que la politique de protection des données à caractère personnel de la société indique que : « En cas d’acceptation expresse de votre part, vos données pourront également être utilisées par […] et/ou ses partenaires pour : • Vous envoyer des offres commerciales et promotionnelles par courrier électronique, y compris à caractère politique ou syndical, par courrier électronique, par SMS/MMS, par courrier postal ou par télémarketing • Vous transmettre des newsletters • Procéder à l’évaluation statistique de la fréquentation du site • Réaliser de la segmentation et des recoupement statistiques. Le fondement légal du traitement est le consentement « .

59. La formation restreinte considère que les finalités visées par la société comme relevant de la réalisation d’opérations techniques et de qualification, à savoir la normalisation postale, le dédoublonnage, l’enrichissement téléphonique, etc., participent à la réalisation des opérations de prospection commerciale de ses partenaires. Ces traitements sont réalisés sur la base de données transmises par la société […], dans le cadre de contrats dont l’objet est, notamment avec la société […], « l’intégration technique de la base de données […] chez […] et de sa commercialisation en location par […]  » (article 1 du contrat).

60. La formation restreinte note que les données des personnes n’ayant pas cons