La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de Messieurs Alexandre LINDEN, président, Philippe-Pierre CABOURDIN, vice-président, et de Mesdames Anne DEBET, Dominique CASTERA et Christine MAUGÜE, membres ;

Vu la Convention no 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;

Vu la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiée, notamment ses articles 20 et suivants ;

Vu le décret no 2019-536 du 29 mai 2019 pris pour l’application de la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;

Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;

Vu la décision n° 2019-136C du 26 juin 2019 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements mis en œuvre par cet organisme ou pour le compte de la société […] ;

Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte, en date du 26 mai 2020 ;

Vu le signalement de l’association SIGNAL SPAM reçu par la Commission nationale de l’informatique et des libertés le 12 juin 2019 ;

Vu le rapport de Madame Valérie PEUGEOT, commissaire rapporteure, notifié à la société […] le 22 octobre 2020 ;

Vu le courriel adressé par la société le 25 novembre 2020 ;

Vu les autres pièces du dossier ;

Étaient présents, lors de la séance de la formation restreinte du 3 décembre 2020 :

– Madame Valérie PEUGEOT, commissaire, entendue en son rapport ;

En qualité de représentant de la société […]:

– […]

La société […] ayant eu la parole en dernier ;

La formation restreinte a adopté la décision suivante :

I. Faits et procédure

1. La société […] (ci-après la société ) est une société à responsabilité limitée en activité depuis huit ans. Elle emploie entre un et deux salariés. En 2018, elle a réalisé un chiffre d’affaires de 107 089 € et en 2019 un chiffre d’affaires de 182 672 €.

2. La société a pour activité l’envoi de prospection commerciale par courriers électroniques pour le compte d’annonceurs. À ce titre, elle détient une base de données de 20 millions d’adresses électroniques de prospects, qu’elle indique avoir constituée à partir d’achats effectués auprès de la société […] en 2014 et 2015, avant la liquidation de cette dernière en 2017.

3. Le 12 juin 2019, l’association SIGNAL SPAM – qui recueille les signalements des internautes relatifs à la réception de courriers électroniques non sollicités et avec laquelle la Commission nationale de l’informatique et des libertés (ci-après la Commission ou la CNIL ) a un partenariat depuis le 30 octobre 2007 – a adressé un signalement à la CNIL concernant les agissements de la société. L’association indiquait ainsi que la société apparaît régulièrement en tête du classement des sociétés émettant le plus de messages signalés comme spam par les internautes français. Ainsi, entre le 1er janvier et le 11 juin 2019, plus de 163 000 signalements d’internautes ont été recensés pour des envois de courriels effectués par cette société.

4. À la suite d’une ordonnance du 11 septembre 2019 du juge des libertés et de la détention du tribunal de grande instance de Pontoise autorisant la CNIL à procéder à un contrôle sur place dans les locaux de la société, situés au domicile privé de son gérant, une délégation de la CNIL a procédé à une telle mission de contrôle, le 18 septembre 2019, en application de la décision n° 2019-136C de la présidente de la Commission du 26 juin 2019.

5. Cette mission avait pour objet de vérifier le respect par la société de l’ensemble des dispositions de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après la loi du 6 janvier 1978 modifiée ou la loi Informatique et Libertés ) et du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (ci-après le RGPD ). Le gérant étant absent, la délégation a établi un procès-verbal de carence, notifié à la société le 19 septembre 2019 par courrier recommandé avec accusé de réception.

6. Le gérant de la société a été convoqué pour une audition dans les locaux de la CNIL le 15 octobre 2019, en application de l’article 19-III de la loi du 6 janvier 1978 modifiée. Le 14 octobre 2019, le conseil de la société a informé la CNIL que le gérant de la société ne pourrait être entendu en raison de son état de santé et a sollicité un report. Aucun représentant de la société ne s’étant présenté dans les locaux de la CNIL le 15 octobre 2019, un procès-verbal de carence a été dressé et notifié à la société par courrier recommandé avec accusé de réception.

7. Le 15 octobre 2019, la CNIL a adressé au gérant de la société une deuxième convocation pour une audition le 31 octobre 2019. Lors de l’audition, la société était représentée par son conseil, le gérant ne pouvant s’y rendre en raison de son état de santé. Le conseil de la société a fourni à la délégation de la CNIL des éléments relatifs aux conditions d’acquisition de la base de prospects par la société, au recueil du consentement des personnes à la réception de messages de prospection par courrier électronique, au droit d’opposition de celles-ci ainsi qu’aux durées de conservation des données personnelles des prospects.

8. La société a fourni des éléments de réponse complémentaires les 20 novembre et 27 décembre 2019 en lien avec le statut de la société dans la réalisation des traitements relatifs à la prospection commerciale, la preuve du recueil du consentement des personnes prospectées et les durées de conservation des données personnelles traitées.

9. Aux fins d’instruction de ces éléments, la présidente de la Commission a désigné Madame Valérie PEUGEOT en qualité de rapporteure, le 26 mai 2020, conformément à l’article 39 du décret n° 2019-536 du 29 mai 2019.

10. À l’issue de son instruction, la rapporteure a fait signifier par huissier de justice à la société […], le 23 octobre 2020, un rapport détaillant les manquements au RGPD et au code des postes et des communications électroniques (le CPCE ) qu’elle estimait constitués en l’espèce.

11. Ce rapport proposait à la formation restreinte de la Commission de prononcer une injonction de mettre en conformité le traitement avec les dispositions des articles 5, 14, 21 et 28 du Règlement et de l’article L. 34-5 du CPCE, assortie d’une astreinte, ainsi qu’une amende administrative. Il proposait également que cette décision soit rendue publique et ne permette plus d’identifier nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.

12. Le 22 octobre 2020, la société a été convoquée à la séance de la formation restreinte du 3 décembre 2020.

13. Le 25 novembre 2020, la société a adressé un courriel aux services de la CNIL.

14. La société et la rapporteure ont présenté des observations orales lors de la séance de la formation restreinte.

II. Motifs de la décision

A. Sur la compétence de la CNIL

15. Aux termes de l’article 3, paragraphe 1, du RGPD le présent règlement s’applique au traitement des données à caractère personnel effectué dans le cadre des activités d’un établissement d’un responsable du traitement ou d’un sous-traitant sur le territoire de l’Union, que le traitement ait lieu ou non dans l’Union .

16. L’article 3, paragraphe 2, du RGPD prévoit que Le présent règlement s’applique au traitement des données à caractère personnel relatives à des personnes concernées qui se trouvent sur le territoire de l’Union par un responsable de traitement ou un sous-traitant qui n’est pas établi dans l’Union, lorsque ses activités sont liées :

a) À l’offre de biens ou de services à ces personnes concernées dans l’Union, qu’un paiement soit exigé ou non desdites personnes (…) .

17. Aux termes de l’article 8 I° de la loi Informatique et Libertés, la CNIL (…) est l’autorité de contrôle nationale au sens et pour l’application du règlement (UE) 2016/679 du 27 avril 2016 (…) .

18. Aux termes de l’article 3 I° de la loi Informatique et Libertés l’ensemble des dispositions de la présente loi s’appliquent aux traitements des données à caractère personnel effectués dans le cadre des activités d’un établissement d’un responsable du traitement ou d’un sous-traitant sur le territoire français, que le traitement ait lieu ou non en France .

19. Aux termes de l’article L. 34-5, alinéa 6, du CPCE La Commission nationale de l’informatique et des libertés veille, pour ce qui concerne la prospection directe utilisant les coordonnées d’un abonné ou d’une personne physique, au respect des dispositions du présent article en utilisant les compétences qui lui sont reconnues par la loi n° 78-17 du 6 janvier 1978 précitée. À cette fin, elle peut notamment recevoir, par tous moyens, les plaintes relatives aux manquements aux dispositions du présent article .

20. Lors du contrôle sur place effectué par la délégation de la CNIL le 18 septembre 2019, le gérant de la société a indiqué à la délégation que les activités opérationnelles de la société étaient mises en œuvre depuis le Maroc et que, dans un futur proche, il comptait mettre un terme aux activités de la société en France pour les réaliser dans leur intégralité depuis le Maroc.

21. La rapporteure considère qu’à supposer que certaines activités opérationnelles de la société soient effectivement menées depuis le Maroc et que les serveurs de la société se trouvent au Maroc, ce dont la société n’apporte pas la preuve, les critères prévus par l’article 3, paragraphes 1 et 2, du RGPD sont remplis – la société en cause étant établie en France et la société adressant ses messages de prospection au seul public français. En conséquence, le RGPD est applicable aux traitements de données à caractère personnel mis en œuvre par la société.

22. En premier lieu, la formation restreinte relève que la société est établie en France. En effet, la société est immatriculée au RCS de Pontoise sous le numéro 789 335 015[…] depuis le 13 novembre 2012 et dispose de locaux en France. La formation restreinte observe que la société ne dispose pas d’autres locaux pour la mise en œuvre du traitement lié à l’envoi de prospection commerciale par voie électronique.

23. La formation restreinte rappelle que la Cour de justice de l’Union européenne (ci-après la CJUE ) considère de façon constante que la notion d’établissement doit être appréciée de manière souple. En effet, selon la CJUE, la notion d’établissement s’étend à toute activité réelle et effective, même minime, exercée au moyen d’une installation stable , le critère de stabilité de l’installation étant examiné au regard de la présence de moyens humains et techniques nécessaires à la fourniture de services concrets en question (CJUE Weltimmo, 1er octobre 2015, C 230/14, points 30 et 31). Ainsi, la Cour a considéré que la présence d’un seul représentant peut, dans certaines circonstances, suffire pour constituer une installation stable .

24. En l’occurrence, la formation restreinte relève qu’au jour du contrôle, la société était immatriculée en France, disposait de locaux en France et éditait un site internet rédigé en français ([…]) à destination du public français.

25. Dès lors, la formation restreinte considère que le traitement de données personnelles mis en œuvre par la société était effectué dans le cadre des activités d’un établissement d’un responsable du traitement sur le territoire de l’Union, en l’espèce sur le territoire français, conformément aux critères posés par l’article 3, paragraphe 1, du RGPD et de l’article 3 I° de la loi Informatique et Libertés, de sorte que la CNIL est compétente pour sanctionner les manquements au RGPD et au CPCE commis par la société.

26. En second lieu, la formation restreinte relève que la société a indiqué à la délégation de la CNIL, le 27 décembre 2019, que seule la France a été visée pour [s]es campagnes et qu’elle a acheté une base de données de prospects français aux fins de réaliser des campagnes françaises .

27. Dès lors, la formation restreinte considère que les opérations de prospection de la société ciblent le public français, ce qui rend le RGPD également applicable au titre du critère du ciblage prévu à l’article 3, paragraphe 2, du RGPD.

28. Il en résulte que le RGPD et la loi française sont applicables et que la CNIL est compétente pour exercer ses pouvoirs, y compris celui de prendre une mesure de sanction.

B. Sur la détermination du responsable de traitement

29. Aux termes de l’article 4, point 7 du RGPD, le responsable de traitement est défini comme la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement .

30. La rapporteure considère qu’en l’espèce la société est responsable du traitement de données personnelles lié à la gestion et la mise à disposition de sa base de données pour l’envoi de campagnes publicitaires à des prospects par courriel électronique pour le compte d’annonceurs. Ce constat est notamment établi à partir de l’analyse des relations contractuelles entre la société et ses clients, dont il ressort que la société s’engage vis-à-vis des annonceurs à disposer d’adresses électroniques d’internautes ayant donné leur consentement à recevoir des messages publicitaires de la part de personnes tierces et est rémunérée pour ce faire par ses partenaires, et que la société utilise pour cse faire sa propre base de données de prospects, dont elle définit les données personnelles qu’elle contient, les durées pendant lesquelles elles sont conservées et les éventuelles mises à jour devant être opérées.

31. La formation restreinte relève qu’il ressort d’un faisceau d’indices concordants que la société est responsable du traitement de données personnelles lié à la gestion et la mise à disposition de sa base de données personnelles à des fins de prospection commerciale par courrier électronique.

32. En effet, la notion de responsable de traitement doit faire l’objet d’une appréciation concrète prenant en compte l’ensemble des éléments permettant d’attribuer cette qualité à une entité. En ce sens, à titre d’éclairage, dans son avis 1/2010 du 16 février 2010 sur la notion de responsable de traitement et de sous-traitant, le groupe de travail de l’article 29 (G29) énonce que la notion de responsable de traitement est une notion fonctionnelle, visant à attribuer les responsabilités aux personnes qui exercent une influence de fait, et [qu’]elle s’appuie donc sur une analyse factuelle plutôt que formelle . En outre, cet avis précise qu’il convient, lorsqu’il s’agit d’évaluer la détermination des finalités et des moyens en vue d’attribuer le rôle de responsable de traitement, d’adopter une approche pragmatique mettant davantage l’accent sur le pouvoir discrétionnaire de déterminer les finalités et sur la latitude laissée pour prendre des décisions . Cette approche factuelle est réaffirmée par le Comité européen de la protection des données ( CEPD ) dans ses lignes directrices 07/2020 sur la notion de responsable de traitement et de sous-traitant, soumises à la concertation publique le 2 septembre 2020, dont il ressort que la qualification de responsable de traitement doit être établie sur la base d’une évaluation du contexte factuel entourant le traitement. Toutes les circonstances factuelles pertinentes doivent être prises en compte pour parvenir à une conclusion sur le point de savoir si une entité particulière exerce une influence déterminante sur le traitement des données personnelles (§ 23).

33. À titre liminaire, la formation restreinte relève que dans son courrier du 27 décembre 2019, la société a explicitement indiqué à la délégation de contrôle de la CNIL que c’est elle qui est le responsable des traitements dans la réalisation des traitements relatifs à la prospection commerciale réalisée auprès des personnes, dont les données figurant dans sa base . La formation restreinte estime que plusieurs éléments confirment cette qualification.

34. En premier lieu, s’agissant de la détermination des finalités, la formation restreinte relève que la mise à disposition de sa base de prospects à des fins de prospection commerciale est au cœur de l’activité de la société. Ainsi, la société s’engage contractuellement vis-à-vis des annonceurs à disposer d’adresses électroniques d’internautes ayant donné leur consentement à recevoir des courriels publicitaires de la part de personnes tierces et est rémunérée pour ce faire par ses partenaires.

35. La formation restreinte note en outre que la société est propriétaire de la base de données utilisée dans le cadre des campagnes de prospection, les annonceurs et agences web ne fournissant pas les données à caractère personnel des prospects à contacter et n’ayant n’ont pas accès aux données à caractère personnel des prospects.

36. En second lieu, la formation restreinte considère que la société détermine les moyens essentiels du traitement en ce qu’elle définit les données personnelles qui figurent dans sa base de prospects, les durées pendant lesquelles ces données y sont conservées et les éventuelles mises à jour devant être opérées.

37. En conséquence, et sans qu’en l’espèce il soit nécessaire de se prononcer sur une éventuelle responsabilité conjointe des partenaires annonceurs de la société […], la formation restreinte retient que cette dernière a défini les finalités et les moyens du traitement lié à la gestion et la mise à disposition de sa base de données personnelles à des fins de prospection commerciale par courrier électronique.

C. Sur la qualification des faits au regard du règlement général sur la protection des données et du code des postes et des communications électroniques

1. Sur le manquement à l’obligation de recueillir le consentement de la personne concernée par une opération de prospection directe au moyen d’un courrier électronique

38. L’article L. 34-5 alinéa 1 du CPCE précise que Est interdite la prospection directe au moyen de système automatisé de communications électroniques au sens du 6° de l’article L. 32, d’un télécopieur ou de courriers électroniques utilisant les coordonnées d’une personne physique, abonné ou utilisateur, qui n’a pas exprimé préalablement son consentement à recevoir des prospections directes par ce moyen. Pour l’application du présent article, on entend par consentement toute manifestation de volonté libre, spécifique et informée par laquelle une personne accepte que des données à caractère personnel la concernant soient utilisées à fin de prospection directe . Ainsi, le consentement des personnes doit être recueilli avant toute prospection par voie d’un courrier électronique.

39. La rapporteure relève dans son rapport de sanction que la société ne dispose d’aucun élément permettant de matérialiser le consentement des personnes concernées à recevoir de la prospection autre que deux factures établies en 2014 et 2015 par la société […], mentionnant un opt-in partenaire pour des fichiers base ouvreurs 17 millions de mails et un double opt-in partenaire pour des fichiers base ouvreurs 3 millions de mails , ce qui l’amène à considérer que les éléments constitutifs d’un manquement à l’article L. 34-5 du CPCE sont réunis.

40. Lors de la séance de la formation restreinte, la société a fait valoir que, si elle ne dispose pas d’éléments matérialisant le recueil effectif du consentement des prospects, elle a rémunéré la société […] auprès de laquelle elle a acquis les bases de données de prospects précisément pour que ces dernières contiennent des données personnelles de personnes ayant consenti à l’envoi de prospection commerciale.

41. La formation restreinte relève que la société n’est en mesure de prouver ni qu’elle-même recueille de manière effective le consentement des personnes prospectées ni que la société […] aurait valablement recueilli le consentement desdits prospects préalablement à la cession de sa base à la société en 2014 et 2015, étant précisé que cette société a été liquidée en 2017.

42. En ce sens, la formation restreinte observe que, lors de l’audition du 31 octobre 2019, le conseil de la société a indiqué qu’à sa connaissance hors la mention indiquant opt-in figurant sur les factures, la société […] ne dispose pas d’autres éléments matériels relatifs aux conditions de recueil du consentement .

43. Or, la formation restreinte considère que de telles mentions ne sont pas suffisantes pour attester du recueil effectif du consentement des personnes concernées aux fins de prospection commerciale par courriel électronique, que ce soit par la société elle-même ou par la société […] à des fins de transmission à la société […] pour la réalisation d’une telle finalité.

44. La formation restreinte souligne que l’envoi de prospection commerciale par voie électronique est au cœur de l’activité de la société, qui s’engage vis-à-vis de ses cocontractants à disposer d’une base d’adresses électroniques de personnes ayant donné leur consentement pour recevoir de la prospection commerciale de la part de partenaires tiers, par courrier électronique, dans le respect de la réglementation relative à la protection des données à caractère personnel.

45. Pour autant, la formation restreinte relève que cet engagement à l’égard des partenaires ne repose sur aucun élément matérialisant l’existence du consentement des personnes concernées et permettant de le démontrer, par exemple par des vérifications qui auraient été opérées préalablement auprès de la société […] sur ce point ou en recueillant directement un tel consentement et en le documentant.

46. L’absence d’éléments, hormis les factures produites par la société, venant attester de l’existence effective d’un consentement valable des personnes concernées, rapportée au nombre de signalements reçus par l’association SIGNAL SPAM concernant la société, à savoir 163 126 signalements sur la période du 1er janvier 2019 au 11 juin 2019, ce qui en fait, sur cette période, l’émetteur de courriers électroniques le plus signalé par les internautes français auprès de SIGNAL SPAM, amène la formation restreinte à considérer que les éléments constitutifs d’un manquement à l’article L. 34-5 du CPCE sont réunis.

2. Sur le manquement à l’obligation de veiller à l’adéquation, à la pertinence et au caractère non excessif des données à caractère personnel traitées par la société

47. Aux termes de l’article 5, paragraphe1, c) du RGPD les données à caractère personnel doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (minimisation des données) .

48. La rapporteure relève dans son rapport de sanction que la délégation de contrôle de la CNIL a relevé que les champs code postal et numéro de téléphone étaient renseignés sur une fiche de contact d’un prospect alors qu’il ressort du procès-verbal de l’audition que ces informations ne sont pas utilisées par la société et qu’elles figuraient sur les fiches probablement déjà au moment du rachat des listes de prospects . Elle reproche ainsi à la société de méconnaitre ses obligations résultant de l’article précité.

49. Lors de la séance de la formation restreinte, la société a indiqué qu’elle utilise le code postal pour adresser certains messages promotionnels uniquement aux personnes habitant dans des départements ciblés, notamment s’agissant de l’envoi de messages promotionnels dans le secteur immobilier.

50. La formation restreinte prend note de ce que le code postal est une donnée pertinente pour l’activité de la société et qu’elle est exploitée par cette dernière à ce titre. Elle retient toutefois que le numéro de téléphone n’est pas exploité par la société, qui adresse uniquement de la prospection par courriel, ce que la société ne conteste pas. La formation restreinte considère dès lors que le numéro de téléphone n’aurait pas dû être collecté et traité par la société dans le cadre de l’achat des bases de données en 2014 et 2015 et qu’il aurait dû, en tout état de cause, être immédiatement supprimé à réception desdites bases.

51. Dans ces conditions, la formation restreinte considère que la société a failli à l’obligation prévue à l’article 5, paragraphe 1, c) du RGPD de ne traiter que des données à caractère personnel adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées.

3. Sur le manquement à l’obligation de traiter les données à caractère personnel pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées

52. L’article 5, paragraphe 1, e) du RGPD prévoit que les données à caractère personnel doivent être conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées ; les données à caractère personnel peuvent être conservées pour des durées plus longues dans la mesure où elles seront traitées exclusivement à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques conformément à l’article 89, paragraphe 1, pour autant que soient mises en œuvre les mesures techniques et organisationnelles appropriées requises par le présent règlement afin de garantir les droits et libertés de la personne concernée (limitation de la conservation) .

53. Il ressort des constatations de la délégation de la CNIL que la société conserve plus de trois ans les coordonnées d’environ 5 millions de prospects ayant uniquement ouvert les courriels de prospection adressés par la société, sans autre action de leur part, notamment sans avoir cliqué sur un des liens présents dans lesdits courriels de prospection.

54. La rapporteure considère que l’action permettant de matérialiser le point de départ fixé par la société pour calculer le délai de conservation des données des prospects – à savoir trois ans à compter du dernier contact émanant du prospect – ne saurait être la simple ouverture d’un courriel dans la mesure où l’ouverture d’un courriel ne reflète pas nécessairement l’intérêt du prospect pour les produits ou services de l’expéditeur du message, le prospect pouvant avoir ouvert le courriel par erreur ou de manière automatique, notamment en raison du fonctionnement de son logiciel de messagerie (par exemple, lors de la suppression d’un autre message). Dès lors, la rapporteure considère que la société méconnaît ses obligations au regard de l’article 5, paragraphe 1, e) du RGPD.

55. Lors de la séance de la formation restreinte, la société a indiqué que, selon elle, l’ouverture d’un courriel matérialise l’intérêt du prospect pour le message de l’expéditeur.

56. En l’espèce, la formation restreinte retient que la société n’est pas fondée à considérer que le point de départ de la durée de conservation de trois ans pourrait consister en la simple ouverture d’un courrier électronique. En effet, la société doit s’assurer d’un intérêt effectif des personnes concernées pour les messages de prospection commerciale qu’elle envoie avant de pouvoir considérer qu’il a bien eu un contact avec le prospect, de nature à rallonger la durée de conservation de ses données à caractère personnel. À cet égard, la simple ouverture d’un courriel, en ce qu’elle peut être réalisée par erreur ou de manière automatique, ne saurait être suffisante pour matérialiser cet intérêt effectif, a fortiori, dans la mesure où la société n’a pas elle-même collecté les données personnelles des personnes concernées, mais les a acquises auprès de la société […], ce qui implique un engagement moins fort des personnes concernées envers la société que lors d’une collecte directe.

57. A titre d’éclairage, la formation restreinte rappelle que la norme simplifiée n° NS-048 concernant les traitements automatisés de données à caractère personnel relatifs à la gestion de clients et de prospects, publiée par la CNIL en 2005, ainsi que le projet de référentiel sur les traitements de gestion commerciale actualisant la n° NS-048, soumis pour consultation publique le 29 novembre 2018, recommandent que les données à caractère personnel relatives à un prospect non client soient conservées pendant un délai de trois ans à compter du dernier contact émanant du prospect, matérialisé par exemple par un clic sur un lien hypertexte contenu dans un courrier électronique.

58. Au vu de l’ensemble de ces éléments, la formation restreinte considère que la prise en compte par la société de l’ouverture d’un de ses courriels par les prospects afin de déterminer le dernier contact de ceux-ci la conduit à traiter des données à caractère personnel pendant une durée excédant celle nécessaire au regard des finalités pour lesquelles elles sont traitées. La formation restreinte considère que la société a méconnu ainsi ses obligations au regard de l’article 5, paragraphe 1, e) du RGPD.

[… passage central omis : décision trop longue pour une cellule …]

61. La rapporteure reproche à la société de ne pas fournir une information complète aux personnes concernées, la mention précitée ne comportant pas l’ensemble des éléments prévus par l’article 14 du RGPD. La rapporteure note en outre qu’aucun lien hypertexte ne renvoie vers des mentions d’information plus complètes que celles reproduites ci-dessus.

62. La société ne produit pas d’éléments en défense sur ce point.

63. La formation restreinte relève que la mention d’information présente en bas des courriels de prospection adressés aux personnes dont les données à caractère personnel ont été collectées de manière indirecte n’est pas conforme à l’article 14 du RGPD en ce qu’elle ne précise pas l’identité du responsable de traitement, sa base juridique, les catégories de données personnelles concernées, la durée de conservation des données, l’ensemble des droits des personnes (en particulier le droit à la portabilité et le droit à la limitation du traitement), le droit d’introduire une réclamation auprès d’une autorité de contrôle et la source d’où proviennent les données.

64. La formation restreinte observe en outre qu’aucune modalité d’information complémentaire n’est mise en place par la société pour fournir une information complète aux personnes concernées, par le biais par exemple d’un lien figurant dans les courriels de prospection renvoyant vers une page dédiée contenant la totalité des informations prévues par le RGPD ou ne serait-ce que celles manquantes par rapport à celles figurant dans le courriel de prospection.

65. Or, la formation restreinte rappelle que la société doit fournir aux personnes une information complète, que ce soit dès ce premier niveau d’information donné dans les courriels ou en leur permettant d’accéder aisément à des informations complémentaires, au sein d’un second niveau d’information.

66. Au regard de l’ensemble de ces éléments, la formation restreinte retient que l’information fournie aux personnes concernées par la société n’est pas complète et que la société a méconnu ses obligations au titre de l’article 14 du RGPD.

5. Sur le manquement relatif au droit d’opposition des personnes concernées

67. L’article 21, paragraphe 2, du RGPD dispose : Lorsque les données à caractère personnel sont traitées à des fins de prospection, la personne concernée a le droit de s’opposer à tout moment au traitement des données à caractère personnel la concernant à de telles fins de prospection, y compris au profilage dans la mesure où il est lié à une telle prospection .

68. La délégation de contrôle a constaté qu’un lien permettant de s’opposer à la réception de nouveaux courriels de prospection est présent en bas des courriels envoyés par la société. Toutefois, la rapporteure note dans son rapport de sanction que la société effectue son activité de prospection commerciale par silos , les données personnelles des prospects contenues dans la base de données étant répliquées au sein de neuf compartiments de données différents, dénommés comptes (par exemple […]13 ou […]20 ), et chaque compte étant