L’essentiel
L’article L. 34-5 du CPCE impose un consentement préalable à toute prospection électronique. La simple mention « opt-in » figurant sur des factures ne suffit pas à démontrer un consentement effectivement recueilli et transmissible. La société doit pouvoir documenter ce consentement.
La formation restreinte retient également des manquements aux articles 5, paragraphes 1, c) et e), 14, 21 et 28 du RGPD. Les données doivent être limitées à celles nécessaires, conservées pendant une durée justifiée par un contact effectif, et faire l’objet d’une information complète. Le droit d’opposition doit pouvoir être exercé de manière simple et globale, sans limitation au seul compte d’envoi. Le contrat de sous-traitance doit prévoir les obligations relatives à la confidentialité ainsi que l’accès aux informations et aux audits.
Compte tenu de la gravité, du volume de personnes concernées et de l’absence de mise en conformité, une amende administrative de 7 300 euros a été prononcée sur le fondement des articles 20 de la loi du 6 janvier 1978 et 83 du RGPD, avec une injonction assortie d’une astreinte de 1 000 euros par jour et une publication pendant deux ans.
En résumé
- Amende administrative de 7 300 euros et injonction sous astreinte
- Consentement préalable à la prospection électronique non démontré
- Mentions « opt-in » sur factures insuffisantes comme preuve
- Simple ouverture d’un courriel insuffisante pour prolonger la conservation
- Désabonnement limité à un compte contraire au droit d’opposition effectif
- Contrat de sous-traitance incomplet au regard de l’article 28 RGPD
Contexte de l’affaire
Après autorisation judiciaire, la CNIL a effectué un contrôle sur place puis entendu le conseil de la société. L’instruction a porté sur le consentement des prospects, la nature des données conservées, leur durée de conservation, l’information fournie, le droit d’opposition et le contrat conclu avec le sous-traitant technique.
La CNIL a retenu que la société était responsable du traitement et que le RGPD lui était applicable. Elle a constaté l’absence de preuve suffisante du consentement, la conservation de numéros de téléphone inutiles, la prise en compte de la simple ouverture d’un courriel comme contact, une information incomplète, un désabonnement limité à certains comptes et un contrat de sous-traitance incomplet. Elle a prononcé une amende, une injonction de mise en conformité sous astreinte et la publication de sa décision.
Conditions / critères (ce que le juge vérifie)
- Établir l’applicabilité territoriale du RGPD
- Identifier l’entité déterminant les finalités et moyens du traitement
- Démontrer un consentement préalable, libre, spécifique et informé
- Limiter les données aux informations nécessaires aux campagnes
- Fonder la conservation sur un contact effectif du prospect
- Garantir une opposition simple, globale et effective
- Prévoir les clauses obligatoires dans le contrat de sous-traitance
Preuves retenues (ce qui a fait pencher la décision)
- Registre d’immatriculation et locaux situés en France
- Déclarations de la société sur le ciblage du public français
- Contrats conclus avec les annonceurs et sous-traitant
- Deux factures mentionnant « opt-in » et « double opt-in »
- Constatations du contrôle sur les comptes et liens de désabonnement
- Signalements de courriels non sollicités recensés par SIGNAL SPAM
Conséquences pratiques
- Amende administrative de 7 300 euros
- Mise en conformité sous deux mois
- Astreinte de 1 000 euros par jour de retard
- Suppression des données et numéros non nécessaires
- Preuve documentée du consentement préalable
- Publication de la décision pendant deux ans
Checklist pour Avocats
À faire
- Documenter le consentement avant chaque prospection
- Supprimer les numéros de téléphone inutiles
- Revoir les règles de conservation des prospects
- Compléter l’information prévue par l’article 14 RGPD
- Unifier les mécanismes de désinscription entre tous les comptes
À éviter
- Se limiter à des mentions « opt-in » sur des factures
- Assimiler une simple ouverture à un contact effectif
- Conserver des données étrangères à la finalité poursuivie
- Limiter l’opposition au seul domaine d’envoi
- Utiliser un contrat de sous-traitance incomplet
FAQ / Q-R juridiques
Le champ territorial du RGPD
Le RGPD s’applique au traitement effectué dans le cadre des activités d’un établissement situé en France, conformément à son article 3, paragraphe 1. Il s’applique également lorsque les opérations ciblent le public français, au titre de l’article 3, paragraphe 2. L’immatriculation, les locaux et le ciblage exclusif de personnes françaises ont établi la compétence de la CNIL.
La preuve du consentement à la prospection électronique
L’article L. 34-5, alinéa 1, du CPCE exige un consentement préalable à la prospection par courrier électronique. La société devait démontrer le recueil effectif du consentement, par elle-même ou par le fournisseur de la base. Deux factures comportant les mentions « opt-in » et « double opt-in » n’ont pas été jugées suffisantes pour établir un consentement valable.
Les obligations RGPD applicables aux campagnes de prospection
Les articles 5, paragraphes 1, c) et e), 14, 21 et 28 du RGPD imposaient la minimisation des données, une conservation limitée, une information complète, un droit d’opposition effectif et un contrat de sous-traitance complet. La CNIL a constaté des manquements sur chacun de ces points et prononcé une injonction assortie d’une astreinte, ainsi qu’une amende sur le fondement des articles 20 de la loi du 6 janvier 1978 et 83 du RGPD.
Textes cités
RGPD & protection des données
Approfondir ce sujet :