L’essentiel
L’intérêt légitime est écarté lorsque les personnes concernées ne peuvent raisonnablement s’attendre à recevoir des offres commerciales, notamment lorsque les formulaires ne mentionnent pas le partenaire ou les catégories de partenaires concernés. Le consentement doit constituer une manifestation libre, spécifique, éclairée et univoque, résultant d’un acte positif clair au sens de l’article 4, paragraphe 11, et de l’article 6 du RGPD. Une interface mettant en évidence l’acceptation commerciale et dissimulant l’option de refus ne satisfait pas ces exigences.
La formation restreinte retient un manquement à l’article 6 du RGPD et prononce une amende administrative de 310 000 euros sur le fondement de l’article 20 de la loi n° 78-17 du 6 janvier 1978 et de l’article 83 du RGPD. En revanche, le manquement à l’article 32 du RGPD n’est pas constitué, faute d’éléments établissant que des personnes dépourvues de besoin d’en connaître accédaient effectivement aux données conservées après la fin des contrats.
En résumé
- Manquement à l’article 6 du RGPD et amende administrative de 310 000 euros
- Intérêt légitime écarté faute d’attentes raisonnables des personnes concernées
- Consentement invalide en raison d’interfaces trompeuses et déséquilibrées
- Contrats fournisseurs insuffisants pour établir les contrôles de conformité
- Manquement à l’article 32 du RGPD non démontré faute de preuve d’accès indu
- Publicité de la sanction pendant deux ans
Contexte de l’affaire
La CNIL a contrôlé les traitements et relevé que certains formulaires ne mentionnaient pas clairement la société ou les catégories de partenaires susceptibles de recevoir les données. D’autres interfaces mettaient en avant un bouton de validation associé à la transmission commerciale, tandis que l’option permettant de participer sans recevoir d’offres était peu visible ou parfois matériellement inaccessible.
La société invoquait ses contrats avec les fournisseurs et des contrôles internes, mais ne produisait pas d’éléments suffisants pour les établir. La CNIL a également examiné la conservation des données clients pendant cinq ans après la fin des contrats, sans archivage intermédiaire.
Conditions / critères (ce que le juge vérifie)
- Identifier et documenter la base légale applicable avant toute prospection
- Vérifier les attentes raisonnables des personnes lors de la collecte
- Informer clairement sur les partenaires ou catégories de partenaires destinataires
- Recueillir un consentement libre, spécifique, éclairé et univoque
- Permettre un acte positif clair et une option de refus réellement accessible
- Contrôler effectivement les fichiers fournis par les prestataires
- Démontrer les habilitations et restrictions d’accès aux données conservées
Preuves retenues (ce qui a fait pencher la décision)
- Procès-verbal du contrôle réalisé dans les locaux de la société
- Formulaires de jeux-concours examinés lors des contrôles en ligne
- Liens et listes de partenaires absents, incomplets ou insuffisamment visibles
- Interface valorisant les boutons d’acceptation commerciale
- Fichier de prospects contrôlé et empreinte numérique correspondante
- Absence de preuve documentée des contrôles effectués sur les fichiers livrés
Conséquences pratiques
Le responsable de traitement supporte le manquement à l’article 6 du RGPD et une amende de 310 000 euros, avec publication de la sanction. Le manquement à l’article 32 n’est toutefois pas retenu faute de preuve d’un accès effectif par des personnes dépourvues de besoin d’en connaître.
- Exclusion de l’intérêt légitime pour les fichiers insuffisamment transparents
- Invalidation du consentement obtenu par une interface déséquilibrée
- Responsabilité maintenue malgré les engagements contractuels des fournisseurs
- Renforcement nécessaire des contrôles documentés des fichiers prospects
- Publication de la sanction pendant deux ans
Checklist pour Avocats
À faire
- Identifier et documenter la base légale de chaque campagne
- Afficher les partenaires ou catégories de partenaires concernés
- Présenter acceptation et refus de manière équivalente
- Conserver les preuves des contrôles réalisés sur les fichiers
- Restreindre les accès après la fin des contrats
À éviter
- Se fier uniquement aux garanties contractuelles du fournisseur
- Masquer le refus dans un lien peu visible
- Associer validation du formulaire et consentement commercial
- Utiliser des fichiers sans vérifier leur origine
- Conserver un accès général sans habilitation documentée
FAQ / Q-R juridiques
La base légale de la prospection commerciale téléphonique
La prospection non électronique peut reposer sur l’intérêt légitime ou le consentement au titre de l’article 6, paragraphe 1, du RGPD. Le responsable de traitement doit vérifier lui-même que les conditions sont réunies. Les engagements contractuels d’un fournisseur ne suffisent pas à transférer ou exclure cette responsabilité.
La validité du consentement recueilli par formulaire
Au sens de l’article 4, paragraphe 11, et de l’article 6 du RGPD, le consentement doit être libre, spécifique, éclairé et univoque, résultant d’un acte positif clair. Une interface qui valorise fortement l’acceptation commerciale et rend peu visible le refus ne permet pas un choix valable. L’organisme prospectant doit pouvoir démontrer la conformité du recueil.
La preuve des mesures de sécurité des données
L’article 32 du RGPD impose des mesures adaptées au risque et au besoin d’en connaître. L’absence d’archivage intermédiaire ne suffit pas, à elle seule, à établir le manquement : encore faut-il démontrer que des personnes non habilitées ou dépourvues de besoin d’en connaître accédaient effectivement aux données. Cette preuve n’était pas rapportée.
Textes cités
RGPD & protection des données
Approfondir ce sujet :