Prospection commerciale : consentement valide, information des prospects et responsabilité du responsable de traitement

La formation restreinte retient trois manquements concernant la prospection commerciale et écarte celui relatif à la sécurité des données. En application de l’article L. 34-5 du code des postes et des communications électroniques et de l’article 4, paragraphe 11, du RGPD, la prospection électronique suppose un consentement libre, spécifique, éclairé et univoque, exprimé par un acte positif clair. Le responsable de traitement doit vérifier lui-même la validité du consentement recueilli par ses fournisseurs de données. Les engagements contractuels de ces derniers ne l’exonèrent pas de sa responsabilité.

La formation restreinte considère que les formulaires de jeux-concours utilisés par les fournisseurs ne permettaient pas de distinguer clairement la participation du consentement à la prospection des partenaires. L’absence de base légale caractérise un manquement à l’article 6 du RGPD. La conservation d’enregistrements téléphoniques ne suffit pas à satisfaire l’article 14 du RGPD lorsque les personnes ne reçoivent ni les informations obligatoires ni la possibilité d’accéder à une information complète.

Le manquement à l’article 32 du RGPD n’est toutefois pas établi : l’absence d’archivage intermédiaire ne démontrait pas, à elle seule, que des personnes dépourvues de besoin d’en connaître accédaient effectivement aux données. Une amende de 525 000 euros a été prononcée sur le fondement de l’article 20 de la loi du 6 janvier 1978 et de l’article 83 du RGPD, avec publication temporaire de la décision.

⬇️Télécharger la décision version officielle

Une société de télécommunication utilisait des fichiers achetés auprès de courtiers pour adresser plus d’un million de SMS et réaliser plusieurs millions d’appels. La CNIL a retenu des manquements au consentement, à la base légale et à l’information, mais écarté celui relatif à la sécurité. Elle a prononcé une amende de 525 000 euros et ordonné la publication de la décision.

Une société exploitant des boutiques de télécommunication menait des campagnes de prospection par SMS et téléphone à partir de fichiers de prospects achetés auprès de courtiers en données. Les fichiers étaient constitués notamment au moyen de formulaires de jeux-concours en ligne. La société a adressé plus d’un million de SMS et réalisé plusieurs millions d’appels auprès de prospects français et belges.

La CNIL a contrôlé les traitements et engagé une procédure de sanction. Elle reprochait à la société de ne pas disposer d’un consentement valable pour la prospection électronique, de ne pas fournir les informations requises aux personnes contactées par téléphone et de ne pas assurer une sécurité suffisante des données conservées après la fin des relations contractuelles.

La formation restreinte a retenu les manquements relatifs au consentement, à la base légale et à l’information, mais a écarté celui relatif à la sécurité. Elle a prononcé une amende administrative de 525 000 euros et ordonné la publication temporaire de la décision.

• Consentement libre, spécifique, éclairé et univoque
• Acte positif clair distinct de la participation au jeu-concours
• Vérification autonome des fichiers et du consentement par le responsable
• Contrôles effectifs des pratiques des fournisseurs de données
• Communication des informations requises en cas de collecte indirecte
• Accès proposé à une information téléphonique complète
• Preuve concrète d’un accès illicite aux données pour caractériser l’insécurité

• Procès-verbal du contrôle réalisé dans les locaux de la société
• Formulaires de jeux-concours et modalités de validation observées
• Extraction de 5 000 fiches de prospects livrées par un fournisseur
• Bons de commande portant sur plusieurs dizaines de milliers de fichiers
• Enregistrements d’appels de prospection téléphonique
• Examen aléatoire révélant quatre fichiers non conformes sur sept

La société est sanctionnée pour l’utilisation de fichiers ne permettant pas d’établir un consentement valable et pour une information téléphonique incomplète. Les fournisseurs de données restent susceptibles d’engager leur propre responsabilité, mais leurs engagements contractuels ne protègent pas le responsable de traitement.

• Exclusion des fichiers dépourvus de consentement démontrable
• Refonte des formulaires et séparation des choix de consentement
• Contrôle documenté des pratiques des courtiers
• Transmission complète de l’information prévue par l’article 14
• Paiement d’une amende de 525 000 euros et publication temporaire

À faire

• Vérifier la preuve individuelle du consentement prospecté
• Séparer clairement participation et acceptation des offres partenaires
• Auditer les formulaires et parcours de collecte des courtiers
• Préparer un script téléphonique conforme à l’article 14
• Documenter les contrôles réalisés sur chaque fichier reçu

À éviter

• Se fier aux seules garanties contractuelles des fournisseurs
• Déduire le consentement de la participation à un jeu
• Masquer le refus dans un lien secondaire
• Limiter l’appel à l’enregistrement et à Bloctel
• Conserver des données sans contrôler les habilitations d’accès

Le consentement à la prospection électronique

L’article L. 34-5 du CPCE, combiné à l’article 4, paragraphe 11, du RGPD, exige un consentement libre, spécifique, éclairé et univoque, exprimé par un acte positif clair. Les formulaires de jeux-concours associaient la validation de la participation à l’acceptation des offres partenaires, tandis que le refus était relégué dans un lien distinct. La formation restreinte en déduit que les formulaires ne permettaient pas de disposer d’un consentement valide.

La responsabilité du responsable de traitement

Le responsable de traitement qui utilise des fichiers acquis auprès de courtiers doit vérifier lui-même la validité du consentement recueilli. Les engagements contractuels imposés aux fournisseurs ne suffisent pas à l’exonérer. La proportion de quatre fichiers non conformes sur sept examinés et l’absence de vérifications démontrées ont établi l’insuffisance des contrôles.

L’information lors d’une collecte indirecte

L’article 14 du RGPD impose de communiquer les finalités, la base juridique, les droits, la durée de conservation, la source des données et les modalités de réclamation. Les appels informaient seulement de leur enregistrement et de l’inscription à Bloctel, sans fournir les autres informations ni proposer un accès à une information complète. Le manquement a donc été retenu.

Article 20 de la loi n° 78-17 du 6 janvier 1978, Article 22 de la loi n° 78-17 du 6 janvier 1978, Article 4 paragraphe 11 du RGPD, Article 4 paragraphe 23 du RGPD, Article 6 du RGPD, Article 14 du RGPD, Article 32 du RGPD, Article 56 du RGPD, Article 60 paragraphes 3 et 6 du RGPD, Article 83 du RGPD, Article L. 34-5 du Code des postes et des communications électroniques