Prospection commerciale et exercice des droits : les manquements sanctionnés par la CNIL

La formation restreinte retient cinq manquements relatifs à la prospection commerciale, à l’information des personnes et à l’exercice de leurs droits.

L’article L. 34-5 du code des postes et des communications électroniques impose, lorsque les données sont utilisées pour une prospection de produits ou services analogues, de permettre à la personne de s’opposer au traitement lors de la collecte puis dans chaque message. L’absence de mécanisme d’opposition sur le formulaire de souscription caractérise le manquement.

L’article 14 du RGPD exige une information complète des personnes dont les données proviennent de partenaires, au plus tard lors de la première communication. Les appels contrôlés ne comportaient aucune information ou des mentions incomplètes.

Au titre de l’article 12 du RGPD, les demandes doivent être traitées dans le délai d’un mois, prorogeable de deux mois en cas de complexité. Les articles 15 et 21 imposent respectivement de répondre au droit d’accès et de prendre effectivement en compte l’opposition à la prospection. La réception d’une demande par l’entreprise suffit, même si elle n’est pas adressée au service dédié.

Une amende administrative d’un million d’euros est prononcée sur le fondement de l’article 20 de la loi du 6 janvier 1978 et de l’article 83 du RGPD. L’injonction est écartée en raison des mesures correctrices mises en œuvre, mais la publicité de la sanction est maintenue.

⬇️Télécharger la décision version officielle

La CNIL a constaté l’absence de possibilité d’opposition à la prospection dans un formulaire en ligne, une information téléphonique incomplète et des retards ou insuffisances dans le traitement des demandes d’accès, de rectification, de suppression et d’opposition. Cinq manquements au CPCE et au RGPD ont été retenus. Des mesures de mise en conformité ont été prises pendant la procédure, sans empêcher le prononcé d’une amende et la publication de la sanction.

Une société du secteur de l’énergie, disposant de plusieurs millions de clients et prospects, faisait l’objet de plaintes relatives à la prospection téléphonique et à l’exercice des droits d’accès et d’opposition.

La CNIL a contrôlé un formulaire de souscription en ligne, des campagnes de démarchage et la gestion de demandes adressées par des personnes concernées. Le formulaire ne permettait pas de s’opposer à l’utilisation des coordonnées à des fins commerciales. Des appels téléphoniques ne comportaient aucune information ou une information incomplète sur les traitements. Plusieurs demandes d’accès, de rectification, de suppression ou d’opposition avaient été traitées tardivement, de façon incomplète ou sans empêcher la poursuite des sollicitations.

La formation restreinte a constaté cinq manquements au CPCE et au RGPD. Elle a tenu compte des mesures de mise en conformité intervenues pendant la procédure, tout en prononçant une amende et la publication de la sanction.

• Permettre l’opposition au traitement dès la collecte des coordonnées
• Fournir les informations de l’article 14 du RGPD lors du premier contact
• Répondre aux demandes d’exercice des droits dans le délai d’un mois
• Communiquer les données accessibles et leur source au titre du droit d’accès
• Prendre effectivement en compte l’opposition à la prospection
• Organiser les services internes et partenaires pour traiter toute demande reçue
• Apprécier la sanction selon la gravité, la durée, les mesures correctrices et la coopération

• Procès-verbal du contrôle en ligne du formulaire de souscription
• Quatre-vingt-quatre enregistrements d’appels de démarchage téléphonique
• Demandes et plaintes relatives à l’accès, l’opposition et la rectification
• Réponses tardives, erronées ou absentes communiquées pendant l’instruction
• Éléments démontrant la poursuite d’appels malgré des oppositions

La société doit supporter une amende d’un million d’euros et la publicité de la sanction. Les mesures correctrices ont évité une injonction, mais les manquements antérieurs restent constitués et les personnes concernées disposent d’une information publique sur ceux-ci.

• Amende administrative d’un million d’euros
• Publication de la sanction pendant deux ans sous l’identification de la société
• Maintien des formulaires avec une opposition explicite et accessible
• Renforcement des scripts et de l’information téléphonique
• Organisation du traitement centralisé des demandes reçues
• Suivi effectif des oppositions pour empêcher les appels ultérieurs

À faire

• Ajouter une opposition explicite lors de toute collecte de coordonnées
• Informer oralement des finalités, droits et sources des données
• Prévoir un accès téléphonique aux informations complémentaires
• Enregistrer chaque demande et contrôler le délai d’un mois
• Vérifier la cessation effective des sollicitations après opposition

À éviter

• Utiliser des coordonnées sans possibilité d’opposition immédiate
• Limiter l’information téléphonique à des mentions incomplètes
• Renvoyer une demande claire vers un canal unique non utilisé
• Justifier un retard par les dysfonctionnements internes ou les partenaires
• Confirmer une opposition sans bloquer les campagnes commerciales

Le consentement et l’opposition à la prospection commerciale

L’article L. 34-5 du code des postes et des communications électroniques permet, dans certaines conditions, la prospection de produits ou services analogues sans consentement préalable. La personne doit toutefois pouvoir s’opposer au traitement lors de la collecte de ses coordonnées, puis lors de chaque message de prospection. L’absence de case ou de modalité d’opposition sur le formulaire de souscription constitue un manquement.

L’information des personnes contactées par téléphone

L’article 14 du RGPD impose de fournir les informations requises lorsque les données proviennent de partenaires, au plus tard lors de la première communication. La formation restreinte a retenu l’absence d’information, des informations incomplètes et l’absence de moyen d’accéder à une information complémentaire. La modification du script et l’accès téléphonique à un message complet ont permis une mise en conformité ultérieure.

Le traitement des demandes d’exercice des droits

Les articles 12, 15 et 21 du RGPD imposent respectivement une réponse dans les délais, l’accès aux données et à leur source, ainsi que la prise en compte effective de l’opposition à la prospection. L’entreprise ne peut opposer ses dysfonctionnements internes, ses partenaires ou l’utilisation d’un canal inadapté dès lors que la demande claire a été reçue.

Article L. 34-5 du code des postes et des communications électroniques, Articles 20 et 22 de la loi n° 78-17 du 6 janvier 1978, Articles 12, 14, 15 et 21 du règlement (UE) 2016/679, Article 83 du règlement (UE) 2016/679