Protection des données : enregistrements téléphoniques excessifs et consentement irrégulier aux cookies

La formation restreinte retient un manquement à l’article 5, paragraphe 1, c), du RGPD : l’enregistrement intégral et systématique des appels n’était pas limité à ce qui était nécessaire. Le contrôle qualité pouvait être réalisé par échantillonnage, la preuve d’un contrat conclu à distance par confirmation écrite prévue à l’article L.221-16 du code de la consommation, et une réquisition judiciaire potentielle ne justifiait pas une collecte anticipée. L’enregistrement des données bancaires était également excessif.

La conservation en base active de données clients au-delà de la relation commerciale méconnaissait l’article 5, paragraphe 1, e), du RGPD. La décision distingue la base active de l’archivage intermédiaire, lequel peut conserver certaines données pertinentes pour une obligation légale ou la preuve d’un contentieux.

Pour les données bancaires, l’article 6 du RGPD impose une base légale adaptée à chaque finalité. La lutte contre la fraude peut relever de l’intérêt légitime, tandis que la conservation destinée à faciliter des paiements ultérieurs nécessite un consentement préalable lorsqu’elle excède l’exécution du contrat.

Enfin, l’article 82 de la loi Informatique et Libertés, éclairé par l’article 4 du RGPD, impose une information préalable et un consentement libre, spécifique, univoque et éclairé pour les traceurs non exemptés. Le refus doit être aussi simple que l’acceptation. Le dépôt préalable de cookies publicitaires ou multifonctions sans consentement constitue un manquement.

⬇️Télécharger la décision version officielle

La société enregistrait systématiquement les appels de ses téléopérateurs, prospects, voyants et clients, et conservait des données de clients et bancaires pendant des durées contestées. La CNIL a également relevé des manquements relatifs aux cookies : information insuffisante, dépôt avant consentement et refus plus complexe que l’acceptation. Certaines pratiques ont été corrigées après les contrôles.

La société X exploitait des sites proposant des consultations de voyance par chat ou par téléphone. Elle enregistrait intégralement et systématiquement les appels entre ses téléopérateurs, prospects, voyants et clients, notamment pour le contrôle qualité, la preuve des contrats et d’éventuelles réquisitions judiciaires. Les échanges pouvaient aussi contenir des données bancaires.

La société conservait en base active les données de clients n’ayant plus consulté depuis plusieurs années. Elle conservait également certaines données bancaires pour faciliter des paiements ultérieurs et lutter contre la fraude.

Lors de contrôles en ligne et sur place, la CNIL a constaté l’absence initiale d’information satisfaisante sur les cookies, le dépôt de traceurs soumis au consentement avant toute action de l’utilisateur et un refus plus complexe que l’acceptation. La société a ensuite cessé certaines pratiques et modifié son bandeau cookies.

• Limiter les enregistrements aux données nécessaires à chaque finalité
• Privilégier l’échantillonnage lorsque le contrôle qualité le permet
• Utiliser une preuve moins intrusive pour les contrats à distance
• Fixer une durée de conservation proportionnée à la finalité poursuivie
• Séparer la base active de l’archivage intermédiaire
• Recueillir un consentement préalable pour les traceurs non exemptés
• Rendre le refus des cookies aussi simple que l’acceptation

• Constats des contrôles en ligne et sur place de la CNIL
• Procès-verbaux de contrôle des 15 avril et 15 juillet 2021
• Réponses écrites et courriels transmis par la société
• Politiques de conservation et politique de confidentialité
• Constat du dépôt des cookies avant toute action utilisateur
• Configuration du bandeau imposant cinq actions pour refuser

La société demeure responsable des traitements passés malgré l’arrêt des consultations téléphoniques et les mises en conformité ultérieures. Elle doit revoir ses dispositifs d’enregistrement, de conservation, de paiement et de gestion des cookies afin de limiter les données et de recueillir un consentement valable.

• Arrêt des enregistrements téléphoniques systématiques
• Suppression ou archivage séparé des données clients obsolètes
• Recueil du consentement pour les paiements ultérieurs
• Blocage des cookies non exemptés avant tout consentement
• Ajout d’un refus immédiat et équivalent à l’acceptation
• Documentation des finalités, durées et bases légales

À faire

• Cartographier chaque finalité d’enregistrement
• Mettre en place un échantillonnage documenté
• Définir les durées et purges applicables
• Séparer base active et archivage intermédiaire
• Déployer un bandeau avec acceptation et refus équivalents

À éviter

• Enregistrer intégralement toutes les conversations
• Collecter des données bancaires dans les enregistrements
• Conserver des clients inactifs en base active
• Déposer des cookies avant le consentement
• Justifier une collecte par une réquisition seulement potentielle

La minimisation des enregistrements téléphoniques

L’article 5, paragraphe 1, c), du RGPD impose des données adéquates, pertinentes et limitées à ce qui est nécessaire. La formation restreinte juge l’enregistrement intégral excessif lorsque le contrôle qualité peut reposer sur un échantillonnage, que la preuve du contrat peut résulter de la confirmation écrite exigée par l’article L.221-16 du code de la consommation et qu’une réquisition judiciaire seulement potentielle ne justifie pas une collecte anticipée.

La durée de conservation des données clients

L’article 5, paragraphe 1, e), du RGPD limite la conservation à la durée nécessaire aux finalités. La conservation en base active après la fin de la relation commerciale n’est pas justifiée pour le suivi clientèle. Certaines données pertinentes peuvent toutefois être conservées en archivage intermédiaire, dans une base séparée ou selon une séparation logique, notamment pour satisfaire une obligation légale ou préserver une preuve.

Le consentement préalable aux cookies non exemptés

L’article 82 de la loi Informatique et Libertés, éclairé par l’article 4, paragraphe 11, du RGPD, exige un consentement préalable, libre, spécifique, univoque et éclairé pour les traceurs non strictement nécessaires. Les cookies publicitaires ou multifonctions ne bénéficient pas de l’exemption. Le refus doit être aussi simple que l’acceptation et l’information doit préciser les finalités, les modalités de refus et le retrait du consentement.

Article 5, paragraphe 1, c) du RGPD, Article 5, paragraphe 1, e) du RGPD, Article 6 du RGPD, Article 56 du RGPD, Article 60, paragraphes 3 et 6 du RGPD, Article 4, paragraphe 11, du RGPD, Article L.221-16 du code de la consommation, Article 82 de la loi n° 78-17 du 6 janvier 1978, Articles 20 et suivants de la loi n° 78-17 du 6 janvier 1978, Article 22 de la loi n° 78-17 du 6 janvier 1978, Article 40, III, du décret n° 2019-536 du 29 mai 2019