L’essentiel
La transmission de données à des partenaires à des fins de prospection, y compris sous couvert d’opérations techniques ou de qualification, demeure soumise à la base légale retenue. Les données de personnes n’ayant pas consenti ne peuvent donc être transmises lorsque le consentement constitue le fondement du traitement.
Le registre prévu par l’article 30 du RGPD doit être exhaustif, précis et actualisé, notamment lorsqu’il est tenu conjointement par plusieurs entités. Il doit identifier le responsable de traitement pour chaque activité. Le manquement à cette obligation a été retenu, contrairement à celui relatif à la sécurité des données au titre de l’article 32, les accès au compte partagé étant imputables grâce à des clés VPN individuelles.
La formation restreinte a prononcé une amende de 75 000 euros et une injonction sous astreinte. Le Conseil d’État a toutefois ramené la sanction à 50 000 euros, en relevant que la substitution d’un manquement à l’article 6 à celui visé par le rapport au titre de l’article 5 avait privé la société de la possibilité de présenter des observations sur ce grief.
En résumé
- Sanction réduite à 50 000 euros par le Conseil d’État.
- Consentement RGPD libre, spécifique, éclairé et univoque exigé.
- Interfaces visuelles et libellés ambigus déterminants dans la qualification.
- Registre incomplet : responsable de traitement non identifié.
- Authentification VPN individuelle suffisante pour écarter le manquement de sécurité.
- Garantir une information loyale et une preuve fiable du consentement.
Contexte de l’affaire
Un contrôle en ligne et des contrôles sur place ont conduit la CNIL à examiner la validité du consentement, la transmission de données de personnes n’ayant pas consenti, le registre des activités de traitement et la sécurité des accès à la base de données. Le registre était commun à deux sociétés sans identifier clairement le responsable de chaque traitement. En revanche, les accès au compte administrateur partagé étaient précédés d’une authentification VPN individuelle.
La CNIL a retenu des manquements aux articles 6 et 30 du RGPD, prononcé une amende de 75 000 euros et ordonné la mise en conformité des formulaires sous astreinte. Le Conseil d’État a ensuite ramené l’amende à 50 000 euros en raison d’une atteinte aux droits de la défense.
Conditions / critères (ce que le juge vérifie)
- Choisir une base légale conforme au traitement réellement effectué.
- Recueillir un acte positif clair, libre, spécifique, éclairé et univoque.
- Présenter les options d’acceptation et de refus de manière équilibrée.
- Informer clairement des conséquences de chaque choix.
- Interdire la transmission des données sans consentement lorsque celui-ci est requis.
- Identifier précisément chaque responsable dans le registre des traitements.
- Adapter les mesures de sécurité aux risques et assurer la traçabilité.
Preuves retenues (ce qui a fait pencher la décision)
- Procès-verbaux des contrôles en ligne et sur place.
- Captures et analyse des formulaires à bouton unique et double bouton.
- Politique de protection des données et registre des activités de traitement.
- Contrats relatifs à l’intégration et à la commercialisation des bases.
- Constat d’un compte administrateur partagé et de clés VPN individuelles.
Conséquences pratiques
- Mettre en conformité les interfaces de consentement.
- Équilibrer visuellement les choix d’acceptation et de refus.
- Bloquer les transmissions concernant les prospects non consentants.
- Identifier chaque responsable dans le registre RGPD.
- Documenter les mesures de sécurité et la traçabilité des accès.
- Vérifier la qualification juridique des griefs avant sanction.
Checklist pour Avocats
À faire
- Afficher clairement les finalités de chaque traitement.
- Prévoir un refus aussi visible que l’acceptation.
- Documenter le consentement et ses modalités de recueil.
- Actualiser le registre pour chaque société responsable.
- Attribuer des identifiants individuels aux administrateurs.
À éviter
- Masquer le refus dans un lien secondaire.
- Utiliser des libellés suggérant une obligation d’accepter.
- Transmettre les données des prospects non consentants.
- Présenter les opérations techniques comme distinctes de la prospection.
- Fonder une sanction sur un grief non soumis aux observations.
FAQ / Q-R juridiques
Le consentement libre, spécifique, éclairé et univoque
La formation restreinte applique les articles 6, paragraphe 1, et 4, paragraphe 11, du RGPD. Le consentement suppose un acte positif clair, une information adéquate et un choix réel. La présentation visuelle dominante du bouton d’acceptation, la dissimulation du refus ou l’ambiguïté des libellés empêchent de considérer le consentement comme libre, éclairé et univoque.
La transmission des données sans consentement valide
Lorsque le consentement est la base légale retenue, les données d’un prospect n’ayant pas accepté leur transmission ne peuvent être communiquées aux partenaires, y compris pour des opérations dites techniques ou de qualification lorsqu’elles participent à la prospection commerciale. La formation restreinte retient alors un manquement à l’article 6 du RGPD.
Le respect des droits de la défense dans la sanction
Le Conseil d’État a relevé que la formation restreinte avait substitué un manquement à l’article 6 du RGPD à celui visé dans le rapport au titre de l’article 5. La société n’ayant pas pu présenter d’observations sur ce grief, la procédure a méconnu ses droits. La sanction a été réformée et son montant ramené à 50 000 euros.
Textes cités
RGPD & protection des données
Approfondir ce sujet :