La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Philippe-Pierre CABOURDIN, président, M. Vincent LESCLOUS, vice-président, et M. Didier KLING, membre ;

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;

Vu la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques ;

Vu le code des postes et des communications électroniques ;

Vu la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;

Vu le décret no 2019-536 du 29 mai 2019 pris pour l’application de la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;

Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;

Vu la délibération n° SAN-2025-001 du 15 mai 2025 adoptée par la formation restreinte à l’encontre de la société SOLOCAL MARKETING SERVICES ;

Vu les éléments transmis par la société SOLOCAL MARKETING SERVICES le 23 janvier 2026 ;

Vu la saisine du rapporteur du 2 avril 2026 ;

Vu la demande complémentaire adressée par le rapporteur à la société SOLOCAL MARKETING SERVICES le 6 mai 2026 ;

Vu la réponse de la société SOLOCAL MARKETING SERVICES du 4 juin 2026 ;

Vu le courrier adressé par le rapporteur à la société SOLOCAL MARKETING SERVICES le 21 juillet 2026 ;

Vu les autres pièces du dossier ;

Après en avoir délibéré lors de la séance du 17 septembre 2026, a adopté la décision suivante :

I. FAITS ET PROCÉDURE

1. Par décision du 15 mai 2025, notifiée à la société SOLOCAL MARKETING SERVICES (ci-après,  » la société  » ou  » la société SOMS « ) le 20 mai 2025, la formation restreinte a enjoint à cette dernière de  » cesser de procéder à des opérations de prospection commerciale par voie électronique en l’absence d’un consentement valable « . Cette injonction était assortie d’une astreinte de dix mille (10 000) euros par jour de retard à l’issue d’un délai de neuf (9) mois suivant la notification de la délibération, les justificatifs de la mise en conformité devant être adressés à la formation restreinte dans ce délai.

2. Le 23 janvier 2026, dans le délai fixé par la délibération, la société a adressé à la formation restreinte un courrier faisant état de la mise en place d’un  » processus de contrôle de conformité des formulaires de collecte de données personnelles utilisés par [s]es partenaires potentiels « , reposant d’une part sur une solution d’analyse automatisée, et d’autre part, en cas de besoin, sur une appréciation humaine.

3. En application de l’article 44 du décret n° 2019-536 du 29 mai 2019, le président de la formation restreinte a, le 2 avril 2026, demandé au rapporteur désigné dans le cadre de la procédure de sanction d’intervenir à nouveau, afin de mener des vérifications complémentaires.

4. Par courrier du 6 mai 2026, notifié à la société le 7 mai 2026, le rapporteur a sollicité des précisions quant aux mesures mises en place, et demandé la transmission d’un certain nombre de pièces justificatives.

5. Le 4 juin 2026, la société a transmis au rapporteur les éléments demandés.

6. Le rapporteur a, par courrier du 21 juillet 2026, indiqué à la société SOMS que les précisions apportées permettaient selon lui à la formation restreinte de disposer désormais de l’ensemble des éléments lui permettant de statuer sur le respect de l’injonction prononcée.

II. MOTIFS DE LA DECISION

7. La formation restreinte relève qu’il ressort des éléments transmis par la société SOMS que cette dernière a mis en place un mécanisme de contrôle des formulaires déployés par ses partenaires primo-collectants, via lesquels sont collectées les données de prospects qui lui sont transmises.

8. Ce mécanisme, qui repose sur la mise en œuvre d’une solution d’analyse automatisée, couplée le cas échéant à une appréciation humaine, intègre de multiples points de contrôle, notamment la présence d’une case à cocher permettant à l’utilisateur d’effectuer une action positive pour exprimer son consentement, la présence de diverses mentions d’information, ou encore la détection de présentations susceptibles d’affecter le caractère libre et univoque du consentement.

9. La formation restreinte considère que ces mesures, si elles sont scrupuleusement appliquées, sont de nature à permettre à la société SOMS de s’assurer que le consentement des personnes concernées est valablement recueilli, et donc à répondre à l’injonction prononcée.

10. Elle rappelle néanmoins que, nonobstant l’existence de ces mesures, la société demeure responsable de la validité des consentements recueillis pour son compte par ses partenaires primo-collectants. Elle renvoie sur ce point au paragraphe 61 de la délibération n° 2025-001.

11. Au vu de l’ensemble de ce qui précède, il y a lieu de clôturer l’injonction.

PAR CES MOTIFS

La formation restreinte de la CNIL, après en avoir délibéré, décide :

– de dire n’y avoir lieu à liquidation de l’astreinte ;

– de rendre publique , sur le site de la CNIL et sur le site de Légifrance, la présente délibération qui n’identifiera plus nommément la société à l’expiration d’un délai de deux ans, le point de départ étant la publication de la délibération n° SAN-2025-001 du 25 mai 2025.

Le président

Philippe-Pierre CABOURDIN