Prospection téléphonique : la CNIL sanctionne les manquements au RGPD des responsables de traitement

La formation restreinte retient l’application du RGPD à des manquements continus ayant perduré après son entrée en application. Elle applique ainsi les articles 5, paragraphe 1, point c), 12, 13, 14, 21 et 44 du RGPD, ainsi que les critères de l’article 83.

Le responsable de traitement doit limiter les données enregistrées à celles qui sont adéquates, pertinentes et nécessaires. Une simple information des utilisateurs ne suffit pas lorsque le logiciel permet l’enregistrement récurrent de propos injurieux ou de données relatives à la santé : un dispositif contraignant de blocage ou de contrôle automatisé est requis.

Les personnes prospectées doivent recevoir une information claire sur l’identité du responsable, les finalités, leurs droits, les durées de conservation et les transferts hors Union européenne. Cette information doit intervenir lors de la collecte directe et, en cas de collecte indirecte, au plus tard lors de la première communication, conformément aux articles 12 à 14.

L’article 21 impose une procédure effective d’opposition, coordonnée entre le responsable et ses sous-traitants. Les transferts vers des sous-traitants établis dans un État tiers doivent être encadrés conformément aux articles 44 à 49 ; des clauses incomplètes, non signées par les deux parties ou soumises à un droit inapproprié ne suffisent pas.

La persistance des manquements, l’atteinte aux droits des personnes, la coopération insuffisante et l’absence de mise en conformité démontrée justifient une injonction sous astreinte, une amende de 500 000 euros et la publication de la sanction. La mise en conformité engagée en cours de procédure peut être prise en compte, sans neutraliser les manquements antérieurs.

⬇️Télécharger la décision version officielle

La prospection téléphonique reposait sur plusieurs centres d’appels sous-traitants. La CNIL a relevé l’absence de mécanisme centralisé d’opposition, une information insuffisante, des commentaires injurieux ou relatifs à la santé dans le logiciel client et une communication incomplète des documents concernant les sous-traitants. Une injonction sous astreinte et une amende de 500 000 euros ont été prononcées.

Une société spécialisée dans l’installation d’équipements d’isolation, de pompes à chaleur et d’ouvrants a organisé sa prospection téléphonique au moyen de plusieurs centres d’appels sous-traitants, principalement situés en Afrique du Nord. Les données provenaient des personnes contactées directement ou d’un programme de parrainage.

Après une plainte dénonçant la poursuite d’appels malgré une opposition, la CNIL a contrôlé les traitements. Elle a constaté l’absence de mécanisme centralisé d’opposition, une information insuffisante des prospects, l’enregistrement non systématique de l’appel, la présence de commentaires injurieux ou relatifs à la santé dans un logiciel client et la communication incomplète de documents concernant les sous-traitants.

La société n’ayant pas démontré sa mise en conformité dans le délai imparti, la CNIL a retenu plusieurs manquements persistants au RGPD. Elle a prononcé une injonction sous astreinte, une amende administrative de 500 000 euros et la publication de la décision pendant deux ans.

• Caractériser des manquements s’étendant après l’entrée en application du RGPD
• Limiter les données aux informations adéquates, pertinentes et nécessaires
• Informer les personnes lors de la collecte directe ou indirecte
• Garantir l’effectivité et la circulation du droit d’opposition
• Encadrer les transferts hors Union européenne conformément aux articles 44 à 49
• Démontrer la mise en conformité dans le délai imparti
• Apprécier la gravité, la durée et la coopération pour fixer l’amende

• Enregistrements des conversations de prospection téléphonique
• Dix-neuf courriels exprimant une opposition à la prospection
• Commentaires du logiciel Progibos contenant propos injurieux et données de santé
• Contrats et clauses contractuelles communiqués pour les sous-traitants
• Constat d’huissier du 30 juillet 2019
• Réponses partielles aux demandes documentaires de la CNIL

La société doit corriger ses traitements de prospection, formaliser ses relations avec les sous-traitants et justifier rapidement sa conformité. Les sous-traitants doivent transmettre les oppositions et respecter les exigences applicables aux transferts internationaux.

• Blocage automatisé des commentaires inadéquats
• Information complète des prospects au moment approprié
• Centralisation et transmission des oppositions
• Signature de contrats définitifs avec les sous-traitants
• Respect du droit français pour les clauses types applicables
• Paiement de l’amende et exposition à l’astreinte

À faire

• Auditer les scripts et enregistrements de prospection
• Informer sur l’identité, les finalités et les droits
• Centraliser toutes les oppositions reçues
• Bloquer les commentaires injurieux ou sensibles
• Faire signer les contrats de sous-traitance conformes

À éviter

• Enregistrer un appel sans information adéquate
• Conserver des données de santé non nécessaires
• Ignorer une opposition transmise oralement
• Utiliser des clauses de transfert incomplètes
• Répondre partiellement aux demandes de la CNIL

Le régime applicable aux manquements continus

La formation restreinte considère que les manquements se sont poursuivis après l’entrée en application du RGPD. En application du principe de non-rétroactivité, les manquements instantanés antérieurs ne peuvent être sanctionnés sur ce fondement. En revanche, pour des manquements continus, la loi applicable est celle du dernier état du manquement. Faute de mise en conformité démontrée avant la notification du rapport de sanction, le RGPD est donc applicable.

Les obligations d’information et d’opposition

Les articles 12, 13, 14 et 21 du RGPD imposent une information claire lors de la collecte directe ou indirecte et une procédure effective d’opposition. Informer uniquement de l’enregistrement de l’appel ne suffit pas. Le responsable doit communiquer l’identité, les finalités, les droits, les durées de conservation et les informations relatives aux transferts, puis répercuter les oppositions entre lui et ses sous-traitants.

Les conditions des transferts hors Union européenne

Les transferts doivent respecter les articles 44 à 49 du RGPD. Des clauses contractuelles non adoptées par la Commission européenne ou une autorité de contrôle, incomplètes, non signées par les deux parties ou soumises au droit de l’État du sous-traitant ne démontrent pas la conformité. La société devait notamment produire des contrats définitifs, signés et régis par le droit de l’État membre de l’exportateur.

Article 5, paragraphe 1, point c), du RGPD, Articles 12, 13, 14 et 21 du RGPD, Articles 44 à 49 du RGPD, Article 83 du RGPD, Article 20 de la loi n° 78-17 du 6 janvier 1978, Article 47 de la loi n° 78-17 du 6 janvier 1978, Article 31 du RGPD