Prospection commerciale : consentement préalable, droits RGPD et sanction administrative de la CNIL

La formation restreinte rappelle que la CNIL peut sanctionner un manquement même lorsqu’il a cessé ou fait l’objet d’une mise en conformité. L’article 20, III, de la loi du 6 janvier 1978 permet notamment de prononcer une amende administrative, sans qu’une mise en demeure préalable soit nécessaire lorsque le manquement n’est plus susceptible de régularisation. La durée de la violation peut concerner un manquement terminé.

En application de l’article L. 34-5 du Code des postes et des communications électroniques, la prospection directe par courrier électronique ou SMS utilisant les coordonnées d’une personne physique suppose un consentement préalable, libre, spécifique et informé. L’intérêt légitime du responsable de traitement ne remplace pas ce consentement. La CNIL est compétente pour contrôler le respect de ce régime au moyen de ses pouvoirs d’enquête et de sanction.

Les articles 12 et 13 du RGPD imposent une information transparente sur la collecte et l’utilisation des données. L’article 15 impose de répondre effectivement aux demandes d’accès. L’article 32 exige des mesures de sécurité adaptées au risque ; l’acceptation de mots de passe d’un seul caractère caractérise un manquement, même si les mesures correctrices peuvent exclure une injonction ou une prise en compte dans l’amende.

L’amende doit être effective, proportionnée et dissuasive selon l’article 83 du RGPD. La formation restreinte peut également ordonner la suppression des données collectées sans consentement et la satisfaction complète des demandes d’accès, sous astreinte.

⬇️Télécharger la décision version officielle

La société constituait une base de prospects à partir de données professionnelles et envoyait des courriels et SMS commerciaux sans consentement préalable, parfois après opposition. Elle ne répondait pas complètement aux demandes d’accès et acceptait des mots de passe d’un seul caractère. La CNIL a retenu des manquements au consentement, à l’information, au droit d’accès et à la sécurité, avec une amende de 20 000 euros.

Une société de préparation et de livraison de repas utilisait un site internet et une application mobile. Elle constituait une base de prospects à partir de données accessibles sur un réseau social professionnel, enrichies avec des adresses électroniques professionnelles, puis adressait des courriels et SMS commerciaux. Des personnes non clientes ont saisi la CNIL, reprochant l’absence de consentement préalable, des difficultés d’opposition et la poursuite des envois après désinscription.

D’autres plaignants ont demandé l’accès à leurs données et aux informations relatives à leur source, leurs destinataires et leurs durées de conservation, sans obtenir de réponse complète. Les contrôles de la CNIL ont également révélé que l’application mobile acceptait des mots de passe d’un seul caractère.

La CNIL a retenu des manquements relatifs au consentement, à l’information, au droit d’accès et à la sécurité. Elle a prononcé une amende de 20 000 euros, une injonction de supprimer les données collectées sans consentement et de répondre aux demandes d’accès, sous astreinte, ainsi que la publication de la décision.

• Prospection directe utilisant les coordonnées d’une personne physique
• Absence de consentement préalable, libre, spécifique et informé
• Information insuffisante sur la collecte et l’utilisation des données
• Demandes d’accès demeurées incomplètement satisfaites
• Mesures de sécurité insuffisantes au regard du risque
• Manquements matériellement et temporellement caractérisés par les contrôles
• Appréciation de la gravité, de la durée et de la situation financière

• Plaintes relatives aux courriels de prospection et aux difficultés d’opposition
• Constatations des contrôles en ligne et dans les locaux
• Déclarations de la société sur la constitution de sa base de prospects
• Courriels et SMS adressés à 635 033 prospects
• Acceptation de mots de passe d’un seul caractère sur l’application mobile
• Demandes d’accès et procédure interne communiquée pendant l’instruction

La société est exposée à une amende et à des mesures de mise en conformité malgré les corrections intervenues pendant la procédure. Elle doit supprimer les données collectées sans consentement, répondre intégralement aux demandes d’accès et justifier l’exécution de l’injonction sous astreinte.

• Amende administrative de 20 000 euros
• Suppression des données de prospects collectées sans consentement
• Communication complète des données et de leur source
• Astreinte de 500 euros par jour de retard
• Publication de la décision pendant deux ans
• Renforcement des règles de robustesse des mots de passe

À faire

• Recueillir un consentement préalable, libre, spécifique et informé
• Documenter la source et la base légale de chaque prospect
• Permettre une opposition simple et immédiatement effective
• Répondre intégralement aux demandes d’accès dans les délais
• Imposer des mots de passe robustes et tester régulièrement leur efficacité

À éviter

• Prospecter des personnes dont les coordonnées sont seulement accessibles en ligne
• Assimiler une adresse professionnelle à un consentement commercial
• Conserver une base de prospects collectée sans consentement
• Ignorer une demande d’accès ou en limiter la réponse
• Accepter des mots de passe d’un seul caractère

La compétence de la CNIL en matière de prospection directe

La CNIL peut contrôler le respect de l’article L. 34-5 du Code des postes et des communications électroniques lorsqu’une prospection directe utilise les coordonnées d’une personne physique. Elle exerce à cette fin les pouvoirs d’enquête et de sanction prévus par les articles 19 et 20 de la loi du 6 janvier 1978. Les éléments recueillis lors des contrôles peuvent donc fonder l’examen d’un manquement à l’article L. 34-5.

La sanction des manquements cessés au RGPD

L’article 20, III, de la loi du 6 janvier 1978 permet de prononcer une mesure correctrice, notamment une amende, même si le manquement a cessé ou a été régularisé. La mise en conformité ultérieure ne fait pas disparaître les manquements passés. La formation restreinte doit toutefois agir dans un délai raisonnable, exigence considérée comme une protection suffisante en l’absence de délai de prescription fixé par les textes.

Le consentement préalable aux courriels de prospection

L’article L. 34-5 du CPCE interdit la prospection directe par courrier électronique ou SMS utilisant les coordonnées d’une personne physique qui n’a pas exprimé préalablement son consentement. Celui-ci doit être libre, spécifique et informé. La disponibilité des coordonnées en ligne, leur caractère professionnel ou l’invocation de l’intérêt légitime ne suffit pas à établir ce consentement.

Convention n° 108 du Conseil de l’Europe du 28 janvier 1981, Règlement (UE) 2016/679 du 27 avril 2016, Loi n° 78-17 du 6 janvier 1978, Article 8 de la loi n° 78-17 du 6 janvier 1978, Articles 19 et 20 de la loi n° 78-17 du 6 janvier 1978, Article 20, III, de la loi n° 78-17 du 6 janvier 1978, Article L. 34-5 du Code des postes et des communications électroniques, Articles 12, 13, 15 et 32 du RGPD, Article 83 du RGPD, Article 40 du décret n° 2019-536 du 29 mai 2019, Ordonnance n° 2020-306 du 25 mars 2020