Prospection commerciale : responsabilité du traitement et validité de l’intérêt légitime

La formation restreinte qualifie la société de responsable du traitement lorsqu’elle constitue et administre sa propre base de prospects, en détermine les données, les durées de conservation et les finalités, puis transmet des segments ciblés à des annonceurs. La qualification contractuelle ne suffit pas : elle dépend des finalités et moyens effectivement déterminés, au sens de l’article 4, paragraphe 7, du RGPD. Une coresponsabilité avec les annonceurs demeure possible, tandis que la qualification de sous-traitant suppose une configuration distincte.

La prospection électronique exige un consentement préalable conforme à l’article L. 34-5 du code des postes et des communications électroniques et à l’article 4, paragraphe 11, du RGPD. Le consentement doit être libre, spécifique, éclairé et univoque. L’extrait ne permet toutefois pas de restituer la solution complète sur ce grief.

Pour les coordonnées provenant d’un opérateur ou d’un annuaire, la transmission à des fins de prospection postale ou téléphonique, hors SMS et automates d’appel, peut reposer sur l’intérêt légitime prévu à l’article 6, paragraphe 1, f), du RGPD. La formation retient les attentes raisonnables des personnes, l’existence de mécanismes d’opposition et l’absence d’éléments établissant une transmission illicite. Cette base ne dispense pas du respect des obligations d’information et du droit d’opposition.

⬇️Télécharger la décision version officielle

SOLOCAL MARKETING SERVICES déterminait les finalités et moyens d’une base de prospection contenant environ 75 millions d’entrées, alimentée par plusieurs fournisseurs. Après un contrôle de la CNIL en 2022, la procédure a porté sur la responsabilité de traitement, le consentement et la licéité des transmissions de coordonnées issues notamment d’un opérateur téléphonique ou d’un annuaire.

SOLOCAL MARKETING SERVICES, filiale d’un groupe, exerçait notamment des activités de prospection commerciale par SMS et courrier électronique pour des annonceurs. Elle transmettait également à ses clients des données de prospects destinées à des opérations de prospection postale et téléphonique.

Ces traitements reposaient sur une base d’environ 75 millions d’entrées, alimentée et mise à jour par plusieurs fournisseurs. La société en déterminait la structure, les données conservées, les durées et les finalités, et en était propriétaire.

Après un contrôle sur place réalisé par la CNIL en octobre 2022, un rapporteur a retenu des manquements relatifs à la responsabilité du traitement, au consentement et aux bases légales du RGPD et du code des postes et des communications électroniques. La société a présenté plusieurs observations écrites et orales. La formation restreinte a examiné notamment la régularité de la procédure, la qualification de responsable de traitement et la licéité des transmissions de coordonnées issues d’un opérateur téléphonique ou d’un annuaire.

• Propriété et constitution de la base de données
• Détermination des données, durées de conservation et finalités
• Transmission de segments ciblés selon un usage contractuellement défini
• Existence d’un intérêt commercial légitime et nécessité des données
• Attentes raisonnables des personnes concernées
• Possibilité effective d’exercer un droit d’opposition
• Respect des obligations d’information du RGPD

• Conditions générales qualifiant les rôles des annonceurs et de la société
• Éléments établissant la propriété et la gestion de la base de prospects
• Pièces relatives aux données transmises par les partenaires
• Contrat conclu avec l’opérateur téléphonique ou l’annuairiste
• Clauses prévoyant l’exclusion des listes d’opposition
• Éléments produits lors du contrôle et des échanges contradictoires

La société est tenue pour responsable des traitements portant sur sa base et sur les transmissions de données qu’elle organise. Les annonceurs peuvent également être responsables conjoints, tandis que les transmissions postales ou téléphoniques peuvent reposer sur l’intérêt légitime sous réserve des droits des personnes.

• Documenter les finalités et moyens effectivement déterminés
• Qualifier séparément chaque rôle dans la chaîne de prospection
• Vérifier le consentement pour les SMS et courriels
• Contrôler les listes d’opposition avant toute transmission
• Garantir l’information et le droit d’opposition des personnes
• Conserver les contrats et éléments démontrant la licéité des sources

À faire

• Cartographier les finalités et moyens de chaque traitement
• Documenter la propriété et l’origine des données
• Recueillir un consentement conforme pour les SMS et courriels
• Vérifier les listes d’opposition avant chaque campagne
• Informer les personnes et organiser l’exercice de leurs droits

À éviter

• Se fonder uniquement sur les qualifications contractuelles
• Utiliser des données sans vérifier leur source
• Assimiler prospection postale et prospection électronique
• Transmettre des coordonnées malgré une opposition
• Négliger la traçabilité des contrôles et vérifications

La qualification de responsable de traitement selon les finalités et moyens

La qualification dépend de la réalité des rôles exercés au regard de l’article 4, paragraphe 7, du RGPD. La propriété de la base, sa constitution, la détermination des données, des durées de conservation et des finalités sont déterminantes. Les stipulations contractuelles constituent un élément d’appréciation, mais ne prévalent pas sur la réalité du traitement. La société est responsable pour sa base et les transmissions de segments ciblés, sans exclure une coresponsabilité des annonceurs.

Le consentement préalable à la prospection électronique

L’article L. 34-5 du CPCE interdit la prospection électronique utilisant les coordonnées d’une personne n’ayant pas préalablement consenti. L’article 4, paragraphe 11, du RGPD exige une manifestation de volonté libre, spécifique, éclairée et univoque, par déclaration ou acte positif clair. L’extrait indique que le consentement était recueilli par des primo-collectants, mais le passage central omis ne permet pas de restituer l’appréciation complète de la formation restreinte.

La base de l’intérêt légitime pour les transmissions hors prospection électronique

La transmission de coordonnées issues d’annuaires à des fins de prospection postale ou téléphonique, hors SMS et automates d’appel, peut relever de l’article 6, paragraphe 1, f), du RGPD. La formation retient l’intérêt commercial, la nécessité des données et les attentes raisonnables des personnes n’ayant pas exercé leur opposition. Les transmissions restent soumises à l’information et au droit d’opposition.

Article 4, paragraphes 7 et 11, du règlement (UE) 2016/679, Article 6, paragraphe 1, f), du règlement (UE) 2016/679, Articles 13 et 14 du règlement (UE) 2016/679, Article 20 de la loi n° 78-17 du 6 janvier 1978, Article 22 de la loi n° 78-17 du 6 janvier 1978, Article 8, paragraphe 2, b), de la loi n° 78-17 du 6 janvier 1978, Article L. 34-5 du code des postes et des communications électroniques, Article L. 34 du code des postes et des communications électroniques, Article L. 32 du code des postes et des communications électroniques, Article L. 44 du code des postes et des communications électroniques, Article R. 10 du code des postes et des communications électroniques, Article R. 10-3 du code des postes et des communications électroniques, Article R. 10-4 du code des postes et des communications électroniques, Article 6 de la Convention européenne des droits de l’homme, Article 7 de la Convention européenne des droits de l’homme, Article 8 de la Déclaration des droits de l’homme et du citoyen, Article 49 de la Charte des droits fondamentaux de l’Union européenne