L’essentiel
Un manquement à l’article L. 34-5 du code des postes et des communications électroniques est également caractérisé. Le consentement recueilli par un partenaire ne pouvait être utilisé pour prospecter au bénéfice de la société, faute d’information claire sur son identité et sur la prospection envisagée. L’accord de responsabilité conjointe ne dispensait pas chaque responsable de disposer d’un consentement valide pour ses propres opérations.
La formation restreinte relève aussi la violation de l’article 9 du RGPD concernant le traitement de données sensibles, dont le consentement explicite constitue l’une des conditions de licéité prévues au paragraphe 2. La négligence suffit à justifier une amende au regard de l’article 83 du RGPD. Une amende de 150 000 euros est prononcée, ainsi que la publication de la décision pendant deux ans sous réserve de l’anonymisation ultérieure de la société.
En résumé
- Amende de 150 000 euros pour conservation excessive et prospection irrégulière
- La conservation doit rester nécessaire aux finalités poursuivies
- Le tri et l’archivage intermédiaire limitaient l’accès aux données conservées
- Le consentement devait identifier clairement chaque prospecteur électronique
- Les contrôles en ligne ont établi les insuffisances des formulaires
- La décision est publiée pendant deux ans avec anonymisation ultérieure
Contexte de l’affaire
La société conservait les données de ses clients pendant six ans après la fin de la relation commerciale, en base active, sans tri ni archivage intermédiaire. Elle utilisait également, pour ses propres campagnes, des coordonnées collectées par le partenaire, en se prévalant du consentement recueilli lors de cette collecte.
La CNIL a réalisé plusieurs contrôles en ligne et sur place. Elle a constaté que les formulaires de consentement n’identifiaient pas clairement la société prospectrice et ne permettaient pas un consentement suffisamment éclairé. La formation restreinte a aussi retenu un manquement relatif au traitement de données sensibles et a prononcé une amende administrative de 150 000 euros, avec publication de la décision pendant deux ans.
Conditions / critères (ce que le juge vérifie)
- Déterminer une durée proportionnée à chaque finalité du traitement
- Supprimer les données devenues inutiles après la relation commerciale
- Effectuer un tri avant tout archivage intermédiaire
- Limiter l’accès aux seules personnes ayant besoin d’en connaître
- Recueillir un consentement libre, spécifique, éclairé et univoque
- Identifier clairement les sociétés destinataires des données prospectées
- Établir une violation fautive, y compris par négligence
Preuves retenues (ce qui a fait pencher la décision)
- Procès-verbaux des contrôles en ligne et sur place
- Données du compte client le plus ancien conservé en base
- Constat d’absence de tri et d’archivage intermédiaire
- Formulaires de consentement contrôlés en novembre 2021 et avril 2024
- Base commune recensant plus de 1,5 million de personnes uniques
Conséquences pratiques
- Amende administrative totale de 150 000 euros
- Publication de la décision pendant deux ans
- Anonymisation du nom de la société après deux ans
- Révision des durées de conservation et des accès
- Identification explicite de chaque partenaire prospecteur
- Conservation des preuves de consentement valide
Checklist pour Avocats
À faire
- Cartographier les finalités et durées de conservation
- Trier les données à la fin de la relation commerciale
- Créer un archivage intermédiaire à accès restreint
- Identifier chaque prospecteur dans le formulaire
- Conserver les preuves du consentement recueilli
À éviter
- Conserver toutes les données six ans en base active
- Justifier une conservation par de futures réquisitions
- Utiliser le consentement général d’un partenaire
- Masquer les partenaires dans une note peu accessible
- Prospecter sans vérifier la validité du consentement
FAQ / Q-R juridiques
Le caractère transfrontalier des traitements de données personnelles
La présence mensuelle de personnes utilisant le service depuis plusieurs États membres suffit à caractériser un traitement transfrontalier au sens de l’article 4, paragraphe 23, b) du RGPD. La langue utilisée, la nationalité ou le lieu de naissance des personnes concernées sont indifférents. Le mécanisme de coopération de l’article 60 du RGPD pouvait donc être appliqué.
La durée de conservation des données après la relation commerciale
L’article 5, paragraphe 1, e) du RGPD impose une conservation n’excédant pas la durée nécessaire aux finalités poursuivies. Après la relation commerciale, le responsable doit supprimer les données inutiles, trier celles justifiées par une finalité spécifique et les placer, si nécessaire, en archivage intermédiaire avec un accès limité. Une conservation générale de six ans en base active méconnaît ce principe.
Le consentement à la prospection par voie électronique
Selon l’article L. 34-5 du code des postes et des communications électroniques, la société ne pouvait utiliser le consentement recueilli par un partenaire lorsque le formulaire n’identifiait pas clairement les prospecteurs concernés. L’accord de responsabilité conjointe ne remplaçait pas un consentement libre, spécifique, éclairé et univoque. Les formulaires contrôlés ne permettaient pas aux personnes de comprendre que leurs données seraient utilisées par la société pour sa prospection.
Textes cités
RGPD & protection des données
Approfondir ce sujet :