La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de Messieurs Alexandre LINDEN, président, Philippe-Pierre CABOURDIN, vice-président, et de Mesdames Anne DEBET, Sylvie LEMMET et Christine MAUGÜE, membres ;

Vu la Convention no 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données;

Vu la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiée, notamment ses articles 20 et suivants ;

Vu le décret no 2019-536 du 29 mai 2019 pris pour l’application de la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;

Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;

Vu la saisine PL18002670 reçue par la Commission nationale de l’informatique et des libertés le 6 février 2018 ;

Vu la décision n° 2018-060C du 16 mars 2018 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification de tous les traitements de prospection mis en œuvre par ou pour le compte de la société X ;

Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte, en date du 29 avril 2019 ;

Vu le rapport de Madame Sophie LAMBREMON, commissaire rapporteur, notifié à la société X le 11 juin 2019 ;

Vu les observations écrites de maître […], avocat de la société X, reçues le 10 juillet 2019 ;

Vu la réponse du rapporteur à ces observations notifiée le 25 juillet 2019 au conseil de la société ;

Vu les nouvelles observations écrites du conseil de la société X reçues le 31 juillet 2019 ainsi que les observations orales formulées lors de la séance de la formation restreinte, le 19 septembre 2019 ;

Vu les pièces communiquées par courriel le 7 octobre 2019, postérieurement à la clôture de l’instruction ;

Vu les autres pièces du dossier ;

Étaient présents, lors de la séance de la formation restreinte du 19 septembre 2019 :

– Mme Sophie LAMBREMON, commissaire, en son rapport ;

En qualité de représentant de la société X :

– […], avocat de la société ;

Le conseil de la société X ayant pris la parole en dernier ;

La formation restreinte adopté la décision suivante :

I. Faits et procédure

1. La société X (ci-après  » la société « ) est une société par actions simplifiée à associé unique, dont le siège social est situé […]. Elle a pour activité l’installation d’équipements d’isolation, de pompes à chaleur et d’ouvrants.

2. En 2017, la société a réalisé un chiffre d’affaires de 27 647 300 euros pour un résultat net supérieur à 500 000 euros. Ce chiffre d’affaires était de […] euros pour un résultat net d’environ […] euros pour l’année 2018. En mars 2018, elle employait environ 75 salariés.

3. Le 6 février 2018, Madame […] a saisi la Commission nationale de l’informatique et des libertés (ci-après  » la CNIL  » ou  » la Commission « ) d’une plainte faisant état de démarchage téléphonique de la part de la société X. La plaignante indiquait également que, malgré une opposition à la prospection exprimée oralement auprès des opérateurs téléphoniques et par courrier adressé au siège de la société, les appels n’avaient pas cessé plusieurs mois après ces démarches.

4. Le 20 mars 2018, en application de la décision no 2018-060C de la présidente, une délégation de la CNIL a procédé à une mission de contrôle dans les locaux de la société X. Cette mission a eu pour objet de vérifier la conformité de tous les traitements en lien avec la prospection commerciale mis en œuvre par ou pour le compte de la société aux dispositions de la loi du 6 janvier 1978 modifiée et, plus particulièrement, d’instruire la plainte de Madame […].

5. À l’occasion de ce contrôle, la délégation a été informée que la société traitait, dans le cadre de son activité, les données de clients et prospects obtenues soit directement auprès des personnes concernées (prenant d’initiative contact avec la société ou contactées dans le cadre d’opérations de prospection téléphonique par des prestataires utilisant leurs propres annuaires) soit collectées auprès de tiers dans le cadre d’un programme de parrainage.

6. La délégation a été informée que la prospection commerciale téléphonique de la société était réalisée par plusieurs centres d’appels agissant en qualité de sous-traitants et étant situés, pour la plupart d’entre eux, en Afrique du Nord. La société indiquait à ces sous-traitants le département qu’elle souhaitait voir ciblé, et les téléopérateurs des centres d’appels appelaient les personnes concernées afin de leur proposer les services de la société. Si les personnes se déclaraient intéressées, elles étaient soit mises directement en contact avec un salarié de la société X, soit rappelées ultérieurement, afin que soient vérifiés les critères d’admissibilité aux  » certificats d’économie d’énergie « , dispositif plus connu sous l’appellation d’  » isolation à un euro « . Des personnes pouvaient également être contactées de cette façon lorsqu’elles avaient été parrainées par des clients de la société qui avaient indiqué leurs coordonnées. La délégation a été informée que la société n’avait pas mis en place de mécanisme centralisé permettant que soient prises en compte les demandes d’opposition exprimées par les personnes démarchées. Elle a pris copie de dix-neuf courriels adressés à la société par des particuliers exprimant leur refus à des futures opérations de prospection.

7. La délégation a été informée que les données des clients étaient traitées dans le logiciel de gestion de la clientèle  » Progibos « , dans lequel les téléopérateurs pouvaient enregistrer des commentaires sur les clients à destination des salariés de la société X. La délégation a constaté, parmi ces commentaires, des propos relatifs à l’état de santé des personnes démarchées ainsi que des propos injurieux à leur encontre.

8. Ayant obtenu copie d’enregistrements des conversations intervenues entre des téléopérateurs et des prospects, la délégation a constaté que, dans un nombre conséquent de conversations, les personnes n’étaient pas informées de l’enregistrement de l’appel. Lorsque les personnes étaient averties de l’enregistrement, aucune autre information relative à la protection des données personnelles n’était communiquée.

9. Par ailleurs, à l’issue du contrôle, les services de la Commission ont sollicité de la société la communication de plusieurs documents nécessaires à l’exécution de leur mission, en vue d’apprécier la responsabilité de la société. Il s’agissait notamment des contrats passés avec les centres d’appel. Un délai de huit jours était accordé à la société pour communiquer ces pièces. Sur demande de la société, deux prorogations de délai ont été accordés, jusqu’au 11 avril puis jusqu’au 20 avril 2018. La société a fait parvenir certains documents les 11, 17, 19 et 20 avril, sans que l’ensemble des documents sollicités ne soient communiqués, malgré deux relances des services de la Commission les 23 avril et 4 juin 2018, dont une par lettre recommandée avec avis de réception.

10. Au regard de ces faits, la présidente a notifié à la société la décision no MED-2018-039 du 27 septembre 2018 la mettant en demeure, sous un délai de deux mois, de prendre les mesures suivantes :

• veiller à l’adéquation, à la pertinence et au caractère non excessif des données collectées, conformément à l’article 5-1-c) du règlement général sur la protection des données n° 2016/679 du 27 avril 2016, notamment en :

 supprimant les commentaires inappropriés et excessifs au regard de la finalité du traitement ;

 prenant les mesures nécessaires pour éviter que des commentaires excessifs ne soient enregistrés dans le logiciel PROGIBOS, par exemple, en mettant en place un système de détection automatique des mots inadéquats, non pertinents et excessifs au regard de la finalité du traitement, afin de les exclure des zones de commentaires et en sensibilisant le personnel sur la nécessité d’enregistrer uniquement des données adéquates, pertinentes et non excessives ;

• justifier des raisons pour lesquelles des réponses partielles ont été adressées au courriel du 23 avril 2018 et au courrier du 4 juin 2018 de la Commission et communiquer à cette dernière :

 la liste exhaustive des centres d’appels travaillant pour le compte de la société ;

 pour chacun des centres d’appels, les cinquante enregistrements les plus récents relatifs aux appels téléphoniques de prospection effectués pour le compte de la société ;

 les cent enregistrements les plus récents dont dispose la société relatifs aux conversations téléphoniques entre les prospects et les employés de la société ;

• procéder à l’information des personnes auprès desquelles des données à caractère personnel sont collectées directement, dans les conditions désormais prévues aux articles 12 et 13 du règlement général sur la protection des données n° 2016/679 du 27 avril 2016, notamment en fournissant, au moment où les données à caractère personnel sont collectées, une information relative à l’identité du responsable du traitement, à la finalité poursuivie par le traitement, aux droits des personnes et au transfert de données vers un État non-membre de l’Union européenne, et en fournissant, sur le site  » www.[…].fr « , une information relative aux transferts de données vers un État non-membre de l’Union européenne ainsi qu’aux durées de conservation des catégories de données traitées ou des critères utilisés permettant de déterminer ces durées ;

• procéder à l’information des personnes auprès desquelles des données à caractère personnel sont collectées indirectement, dans les conditions désormais prévues à l’article 14 du règlement général sur la protection des données n° 2016/679 du 27 avril 2016, notamment en fournissant aux filleuls, au plus tard au moment de la première communication avec eux, une information relative à l’identité du responsable du traitement, à la finalité poursuivie par le traitement, aux droits des personnes et au transfert de données vers un État non-membre de l’Union européenne, et en fournissant, sur le site  » www.[…].fr « , une notice d’information complète ;

• définir et mettre en œuvre une procédure effective de droit d’opposition visant à respecter les dispositions de l’article 21-2 du règlement général sur la protection des données n° 2016/679 du 27 avril 2016 et en particulier, faire droit à la demande formulée par Madame […] ;

• ne plus procéder à un transfert de données à caractère personnel vers un État n’assurant pas un niveau suffisant de protection de la vie privée et des libertés et droits fondamentaux, sauf à remplir l’une des conditions prévues aux articles 46 à 49 du règlement général sur la protection des données n° 2016/679 du 27 avril 2016 ;

• justifier auprès de la CNIL que l’ensemble des demandes précitées a bien été respecté, et ce dans le délai imparti.

11. La mise en demeure a été reçue par la société le 2 octobre 2018.

12. Le 29 novembre 2018, la présidente de la CNIL a été destinataire d’une demande de prorogation du délai imparti par la mise en demeure. Dans ce courrier, une avocate représentant la société expliquait avoir été désignée comme déléguée à la protection des données auprès de la CNIL, sans en avoir été informée, et avoir été saisie de cette mise en demeure tardivement par la société. En conséquence, le conseil de la société sollicitait que le délai de deux mois initialement accordé soit doublé, demande à laquelle il était fait droit le 13 décembre 2018.

13. Le 15 février 2019, le conseil de la société a adressé un courrier à la présidente de la CNIL, l’informant du fait que, en dépit de plusieurs relances de sa part, il n’avait pu obtenir communication des éléments justificatifs demandés auprès de la société. Il ne pouvait, en conséquence, justifier de la mise en conformité de la société X mais communiquait cependant quelques documents fournis par la société.

14. Aux fins d’instruction de ces éléments, la présidente de la Commission a désigné Madame Sophie LAMBREMON en qualité de rapporteur, le 29 avril 2019, sur le fondement de l’article 47 de la loi du 6 janvier 1978 modifiée dans sa version applicable au jour de la désignation.

15. À l’issue de son instruction, le rapporteur a fait notifier par porteur à la société X, le 11 juin 2019, un rapport détaillant les manquements au règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données (ci-après  » le Règlement  » ou  » le RGPD « ) qu’il estimait constitués en l’espèce.

16. Ce rapport proposait à la formation restreinte de la Commission de prononcer une injonction de mettre en conformité le traitement avec les dispositions des articles 5-1.-c), 12, 13, 14, 21 et 44 du Règlement, assortie d’une astreinte de cinq cents euros par jour de retard à l’issue d’un délai de quinze jours suivant la notification de la délibération de la formation restreinte, ainsi qu’une amende administrative d’un montant de cinq cent mille euros. Il proposait également que cette décision soit rendue publique mais qu’elle ne permette plus d’identifier nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.

17. Était également jointe au rapport une convocation à la séance de la formation restreinte du 19 septembre 2019 indiquant à la société qu’elle disposait d’un délai d’un mois pour communiquer ses observations écrites.

18. Le 10 juillet 2019, par l’intermédiaire de son nouveau conseil, la société a produit des observations. Le rapporteur y a répondu le 25 juillet.

19. Le 31 juillet, la société a produit de nouvelles observations en réponse à celles du rapporteur.

20. Lors de la séance de la formation restreinte du 19 septembre 2019, le rapporteur a maintenu les propositions formulées dans son rapport de sanction à l’exception de l’injonction portant sur le caractère adéquat des commentaires libres, la société s’étant mise en conformité sur ce point.

II. Motifs de la décision

1. Sur le droit applicable

21. La formation restreinte constate que le contrôle effectué par les services de la Commission a eu lieu le 20 mars 2018. Cette date est antérieure à l’entrée en application du RGPD. Pour cette raison, la mise en demeure du 27 septembre 2018, bien que notifiée postérieurement à l’entrée en application du texte, relève des manquements à la loi no 78-17 du 6 janvier 1978 modifiée, tout en enjoignant à la mise en conformité au Règlement, désormais applicable.

22. La formation restreinte considère que le principe de non-rétroactivité de la sanction pénale interdit en principe de voir appliquer le Règlement pour sanctionner les manquements instantanés intervenus avant son entrée en vigueur.

23. Elle constate néanmoins que les manquements relevés dans la mise en demeure sont des manquements continus, lesquels se définissent par une action (ou une omission) s’étendant sur une certaine durée, au sens dans la jurisprudence de la Cour européenne des droits de l’homme (Cour européenne des droits de l’Homme, grande ch., aff. Rohlena c/ Rép. Tchèque, req. 59552/08, paragraphe 28).

24. La formation restreinte considère que ces manquements ont perduré au moins jusqu’à la notification du rapport de sanction, soit postérieurement à l’entrée en application du RGPD, faute pour la société d’avoir démontré une mise en conformité.

25. La formation restreinte rappelle que dans l’hypothèse de manquements continus, il convient de tenir compte de la loi applicable lors du dernier état du manquement (CE 9/10, 5 nov. 2014, Sté UBS France SA, no 371585, point 24).

26. En conséquence, la formation restreinte considère que le RGPD est applicable aux faits de l’espèce et que les manquements devront donc être appréciés au regard de ce texte.

2. Sur le manquement à l’obligation de traiter des données adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées

27. L’article 5-1-c) du RGPD dispose que  » les données à caractère personnel doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées « .

28. La formation restreinte observe que des termes injurieux et relatifs à l’état de santé des personnes ont été relevés dans le logiciel  » Progibos  » permettant la gestion des clients de la société. Elle considère que, par leur nature même, les commentaires injurieux sont inadéquats au regard de la finalité pour laquelle les données sont traitées et que rien ne justifie, en l’espèce, la présence de données relatives à la santé des personnes dans le logiciel de gestion des clients et prospects. Elle relève à ce sujet que le caractère excessif de ces données n’est pas remis en cause par la société.

29. La formation restreinte relève également que la société n’a pas démontré qu’elle avait supprimé les commentaires excessifs ou inadéquats à l’expiration du délai accordé dans la mise en demeure et qu’en conséquence, le manquement à l’obligation de ne traiter que des données adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées était constitué à cette date.

30. La formation restreinte considère donc, au vu de ces éléments, qu’un manquement à l’article 5-1-c) du RGPD était constitué à l’expiration du délai imparti par la mise en demeure.

31. La formation restreinte prend acte de ce que la société produit des éléments justifiant qu’elle a procédé à la purge des commentaires excessif en cours de procédure de sanction.

32. La formation restreinte prend également acte des observations formulées par le rapporteur lors de la séance du 19 septembre 2019. Le rapporteur considère que la société a démontré sa mise en conformité et que, dès lors, il n’y a plus lieu de prononcer une injonction sur ce point.

33. La formation restreinte constate néanmoins que, si une information est effectivement délivrée à l’aide d’un bandeau contextuel aux utilisateurs du logiciel  » Progibos « , il ne ressort pas du constat d’huissier de justice établi le 30 juillet 2019 que la société aurait mis en place un mécanisme informatisé empêchant que soient enregistrés dans le logiciel des termes injurieux ou relatifs à l’état de santé des personnes. Cela ne ressort pas non plus des pièces fournies par la société durant la procédure de sanction, ni des déclarations de son conseil lors de la séance du 19 septembre 2019.

34. Or, compte tenu des constatations effectuées par la délégation de contrôle le 20 mars 2018 quant à la nature des commentaires inscrits par les utilisateurs du logiciel  » Progibos « , la formation restreinte considère qu’une simple mention d’information à destination des utilisateurs ne saurait suffire, dans le cas d’espèce, à assurer le respect des dispositions de l’article 5-1-c) du RGPD. Elle considère au contraire que le responsable de traitement doit mettre en place un système contraignant lui permettant de s’assurer que les comportements constatés ne sont pas réitérés, soit en empêchant automatiquement l’enregistrement de certains termes dès la saisie, soit en effectuant une revue automatisée quotidienne des commentaires enregistrés.

35. Ces éléments ne sont donc pas de nature à remettre en question la caractérisation du manquement évoqué à la clôture de l’instruction.

3. Sur le manquement à l’obligation de procéder à l’information des personnes

36. Le premier paragraphe de l’article 12 du RGPD prévoit que  » le responsable du traitement prend des mesures appropriées pour fournir toute information visée aux articles 13 et 14 […] en ce qui concerne le traitement à la personne concernée d’une façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples, en particulier pour toute information destinée spécifiquement à un enfant. Les informations sont fournies par écrit ou par d’autres moyens y compris, lorsque c’est approprié, par voie électronique. Lorsque la personne concernée en fait la demande, les informations peuvent être fournies oralement, à condition que l’identité de la personne concernée soit démontrée par d’autres moyens « .

37. Concernant l’information des personnes dont les données personnelles sont directement collectées auprès d’elles par la société, l’article 13 du RGPD dispose :

 » 1. Lorsque des données à caractère personnel relatives à une personne concernée sont collectées auprès de cette personne, le responsable du traitement lui fournit, au moment où les données en question sont obtenues, toutes les informations suivantes :

a) l’identité et les coordonnées du responsable du traitement et, le cas échéant, du représentant du responsable du traitement ;

b) le cas échéant, les coordonnées du délégué à la protection des données ;

c) les finalités du traitement auquel sont destinées les données à caractère personnel ainsi que la base juridique du traitement ;

d) lorsque le traitement est fondé sur l’article 6, paragraphe 1, point f), les intérêts légitimes poursuivis par le responsable du traitement ou par un tiers ;

e) les destinataires ou les catégories de destinataires des données à caractère personnel, s’ils existent ; et

f) le cas échéant, le fait que le responsable du traitement a l’intention d’effectuer un transfert de données à caractère personnel vers un pays tiers ou à une organisation internationale, et l’existence ou l’absence d’une décision d’adéquation rendue par la Commission ou, dans le cas des transferts visés à l’article 46 ou 47, ou à l’article 49, paragraphe 1, deuxième alinéa, la référence aux garanties appropriées ou adaptées et les moyens d’en obtenir une copie ou l’endroit où elles ont été mises à disposition ;

2. En plus des informations visées au paragraphe 1, le responsable du traitement fournit à la personne concernée, au moment où les données à caractère personnel sont obtenues, les informations complémentaires suivantes qui sont nécessaires pour garantir un traitement équitable et transparent :

a) la durée de conservation des données à caractère personnel ou, lorsque ce n’est pas possible, les critères utilisés pour déterminer cette durée ;

b) l’existence du droit de demander au responsable du traitement l’accès aux données à caractère personnel, la rectification ou l’effacement de celles-ci, ou une limitation du traitement relatif à la personne concernée, ou du droit de s’opposer au traitement et du droit à la portabilité des données ;

c) lorsque le traitement est fondé sur l’article 6, paragraphe 1, point a), ou sur l’article 9, paragraphe 2, point a), l’existence du droit de retirer son consentement à tout moment, sans porter atteinte à la licéité du traitement fondé sur le consentement effectué avant le retrait de celui-ci ;

d) le droit d’introduire une réclamation auprès d’une autorité de contrôle ;

e) des informations sur la question de savoir si l’exigence de fourniture de données à caractère personnel a un caractère réglementaire ou contractuel ou si elle conditionne la conclusion d’un contrat et si la personne concernée est tenue de fournir les données à caractère personnel, ainsi que sur les conséquences éventuelles de la non-fourniture de ces données ;

f) l’existence d’une prise de décision automatisée, y compris un profilage, visée à l’article 22, paragraphes 1 et 4, et, au moins en pareils cas, des informations utiles concernant la logique sous-jacente, ainsi que l’importance et les conséquences prévues de ce traitement pour la personne concernée.  »

38. Concernant les informations à fournir lorsque les données personnelles n’ont pas été collectées auprès des personnes concernées, l’article 14 dispose :

 » 1. Lorsque les données à caractère personnel n’ont pas été collectées auprès de la personne concernée, le responsable du traitement fournit à celle-ci toutes les informations suivantes :

a) l’identité et les coordonnées du responsable du traitement et, le cas échéant, du représentant du responsable du traitement ;

b) le cas échéant, les coordonnées du délégué à la protection des données ;

c) les finalités du traitement auquel sont destinées les données à caractère personnel ainsi que la base juridique du traitement ;

d) les catégories de données à caractère personnel concernées ;

e) le cas échéant, les destinataires ou les catégories de destinataires des données à caractère personnel ;

f) le cas échéant, le fait que le responsable du traitement a l’intention d’effectuer un transfert de données à caractère personnel à un destinataire dans un pays tiers ou une organisation internationale, et l’existence ou l’absence d’une décision d’adéquation rendue par la Commission ou, dans le cas des transferts visés à l’article 46 ou 47, ou à l’article 49, paragraphe 1, deuxième alinéa, la référence aux garanties appropriées ou adaptées et les moyens d’en obtenir une copie ou l’endroit où elles ont été mises à disposition ;

2. En plus des informations visées au paragraphe 1, le responsable du traitement fournit à la personne concernée les informations suivantes nécessaires pour garantir un traitement équitable et transparent à l’égard de la personne concernée :

a) la durée pendant laquelle les données à caractère personnel seront conservées ou, lorsque ce n’est pas possible, les critères utilisés pour déterminer cette durée ;

b) lorsque le traitement est fondé sur l’article 6, paragraphe 1, point f), les intérêts légitimes poursuivis par le responsable du traitement ou par un tiers ;

c) l’existence du droit de demander au responsable du traitement l’accès aux données à caractère personnel, la rectification ou l’effacement de celles-ci, ou une limitation du traitement relatif à la personne concernée, ainsi que du droit de s’opposer au traitement et du droit à la portabilité des données ;

d) lorsque le traitement est fondé sur l’article 6, paragraphe 1, point a), ou sur l’article 9, paragraphe 2, point a), l’existence du droit de retirer le consentement à tout moment, sans porter atteinte à la licéité du traitement fondé sur le consentement effectué avant le retrait de celui-ci ;

e) le droit d’introduire une réclamation auprès d’une autorité de contrôle ;

f) la source d’où proviennent les données à caractère personnel et, le cas échéant, une mention indiquant qu’elles sont issues ou non de sources accessibles au public ;

g) l’existence d’une prise de décision automatisée, y compris un profilage, visée à l’article 22, paragraphes 1 et 4, et, au moins en pareils cas, des informations utiles concernant la logique sous-jacente, ainsi que l’importance et les conséquences prévues de ce traitement pour la personne concernée.

3. Le responsable du traitement fournit les informations visées aux paragraphes 1 et 2 :

a) dans un délai raisonnable après avoir obtenu les données à caractère personnel, mais ne dépassant pas un mois, eu égard aux circonstances particulières dans lesquelles les données à caractère personnel sont traitées ;

b) si les données à caractère personnel doivent être utilisées aux fins de la communication avec la personne concernée, au plus tard au moment de la première communication à ladite personne ; ou

c) s’il est envisagé de communiquer les informations à un autre destinataire, au plus tard lorsque les données à caractère personnel sont communiquées pour la première fois.  »

39. Des lignes directrices sur la transparence au sens du règlement (UE) 2016/679 ont été adoptées par le groupe de travail  » Article 29  » le 29 novembre 2017 (version révisée et adoptée le 11 avril 2018, WP260 rev.01). Elles précisent, page 22, que si une information à plusieurs niveaux est possible pour plus de clarté,  » le G29 recommande que le premier niveau […] inclue les détails de la finalité du traitement, l’identité du responsable du traitement et une description des droits des personnes concernées « , avant de préconiser que  » ces informations devraient être directement portées à l’attention de la personne concernée au moment de la collecte des données à caractère personnel « .

40. La formation restreinte observe qu’il ressort des enregistrements téléphoniques communiqués par la société que les personnes qui font l’objet de prospection téléphonique ne sont soit destinataires d’aucune information relative à l’enregistrement de l’appel soit sont simplement informées de l’enregistrement de la conversation sans qu’aucune autre information ne leur soit communiquée quant au traitement de leurs données à caractère personnel, telle que la finalité du traitement, l’identité du responsable de traitement ou les droits dont elles disposent.

41. La formation restreinte relève que la société n’affirme ni ne démontre avoir mis en place, durant le délai octroyé par la mise en demeure, un mécanisme d’information conforme aux dispositions précitées, aucune précision ne figurant sur ce point dans la réponse sommaire apportée à la mise en demeure le 15 février 2019. Il en va de même en ce qui concerne l’information délivrée aux personnes parrainées dont les données personnelles sont indirectement collectées.

[… passage central omis : décision trop longue pour une cellule …]

75. Concernant la situation au jour du contrôle réalisé et ressortant ensuite des éléments communiqués par le conseil de la société en réponse à la mise en demeure, le responsable de traitement a fait le choix d’encadrer le transfert des données personnelles à ses sous-traitants situés hors du territoire de l’Union européenne par des clauses contractuelles. La formation restreinte constate néanmoins que ces clauses ne répondent pas aux exigences posées par les articles 44 et suivants du RGPD puisqu’elles n’ont été adoptées ni par la Commission européenne ni par une autorité de contrôle, contrairement à ce qu’impose l’article 46 du RGPD.

76. La formation restreinte prend note des nouvelles clauses relatives à la protection des données à caractère personnel que le conseil de la société a communiquées au rapporteur dans le cadre de la procédure de sanction et constate que ces clauses reprennent les clauses contractuelles types de la Commission européenne.

77. Néanmoins, la formation restreinte constate d’une part que, au jour de la clôture de l’instruction, les contrats qui lui ont été communiqués ne sont pas des documents définitifs, puisque certaines clauses ne sont pas entièrement rédigées, et notamment les clauses relatives à la rémunération du prestataire.

78. D’autre part, et malgré les demandes du rapporteur portant précisément sur ce point en cours de procédure, la formation restreinte observe que, au jour de la clôture de l’instruction, la société n’a pas communiqué de version de ces contrats signée par les deux parties. La formation restreinte constate en effet qu’un examen sommaire du contrat liant la société X à son sous-traitant […] permet de constater que le tampon de la société et la signature de son représentant ne figurent pas sur le contrat en lui-même mais uniquement sur l’impression de la photographie du contrat, ledit tampon  » dépassant  » de la photographie et ne pouvant donc pas figurer sur le document original. En conséquence, ce document ne permet pas à la formation restreinte de constater la conformité de la société sur ce point.

79. En outre, la formation restreinte relève que le contrat et l’annexe liant la société X et son sous-traitant […] n’est pas signé par les deux parties.

80. Enfin, les clauses contractuelles types de la Commission européenne prévoient que ces clauses soient soumises au droit de l’État membre où l’exportateur de données personnelles est établi, en l’espèce la France. Or la formation restreinte relève que, dans les contrats fournis par la société, les clauses sont systématiquement soumises au droit de l’État où est installé le sous-traitant.

81. La formation restreinte considère donc, au vu de ces éléments, qu’un manquement à l’article 44 du RGPD était constitué à l’expiration du délai imparti par la mise en demeure.

82. La formation restreinte prend acte de la communication au rapporteur de contrats passés entre la société et ses sous-traitants. Elle relève néanmoins que la société n’a pas justifié de la mise en place, dans ses rapports avec ses sous-traitan