Mise en conformité RGPD et absence de liquidation de l’astreinte prononcée par la CNIL

La formation restreinte constate l’exécution complète, dans le délai imparti, d’une injonction assortie d’une astreinte. Les procès-verbaux d’huissier établissent que l’information des personnes respecte les articles 12, 13 et 14 du règlement (UE) 2016/679, que le droit d’opposition prévu par l’article 21 est effectivement garanti et qu’un mécanisme automatisé empêche toute prospection ultérieure.

La suppression des commentaires libres dans le logiciel permet également de satisfaire aux exigences de l’article 5 du règlement. Les courriers adressés aux centres d’appels démontrent par ailleurs l’absence de recours à des sous-traitants situés hors de l’Union européenne, conformément aux exigences des articles 44 à 49.

La formation restreinte en déduit que la société s’est mise en conformité avec les articles 5, 12, 13, 14, 21 et 44 du règlement (UE) 2016/679. L’injonction ayant été exécutée dans le délai, aucune liquidation de l’astreinte n’est prononcée. La décision demeure toutefois rendue publique selon les modalités fixées par la formation restreinte.

⬇️Télécharger la décision version officielle

La société devait empêcher l’enregistrement de commentaires excessifs, informer les personnes concernées, garantir leur droit d’opposition et encadrer ses sous-traitants. Elle a transmis plusieurs procès-verbaux et documents justificatifs. La formation restreinte a constaté la conformité de l’information, l’efficacité de l’opposition, la suppression des commentaires libres et l’absence de centres d’appel hors de l’Union européenne. L’injonction a été exécutée dans le délai, sans liquidation de l’astreinte.

Une société avait fait l’objet d’une injonction lui imposant de prévenir l’enregistrement de commentaires excessifs dans un logiciel, d’informer les personnes concernées, de garantir l’effectivité de leur droit d’opposition et d’encadrer ses relations avec ses sous-traitants de prospection.

L’injonction était assortie d’une astreinte de 500 euros par jour de retard, les justificatifs devant être transmis dans le délai d’un mois. La société a produit un procès-verbal d’huissier, des courriers adressés à ses sous-traitants et un devis postal, puis un second procès-verbal après une demande de complément.

La formation restreinte a constaté la conformité de l’information, l’efficacité du mécanisme automatisé d’opposition, la suppression des commentaires libres dans le logiciel et l’absence de recours à des centres d’appel situés hors de l’Union européenne. Elle a considéré l’injonction exécutée dans le délai et n’a pas liquidé l’astreinte.

• Exécuter l’injonction dans le délai fixé
• Fournir des justificatifs de mise en conformité
• Assurer une information conforme aux articles 12, 13 et 14
• Garantir un droit d’opposition effectif à la prospection
• Empêcher automatiquement toute prospection après opposition
• Supprimer la possibilité d’enregistrer des commentaires libres
• Encadrer les sous-traitants conformément aux articles 44 à 49

• Procès-verbal d’huissier du 17 décembre 2019
• Procès-verbal d’huissier du 13 janvier 2020
• Courriers adressés aux onze sous-traitants
• Constatations relatives au logiciel PROGIBOS
• Devis de la société La Poste

La société est regardée comme ayant exécuté l’injonction et aucune astreinte n’est liquidée. La décision reste publique, tandis que les mesures de conformité doivent être maintenues pour les traitements de prospection.

• Absence de paiement de l’astreinte de 500 euros par jour
• Maintien d’une information conforme des personnes concernées
• Conservation d’un mécanisme automatisé d’opposition effectif
• Interdiction de renseigner des commentaires libres dans PROGIBOS
• Encadrement documentaire des sous-traitants de prospection
• Publication de la décision pendant deux ans sous identification

À faire

• Documenter chaque mesure de mise en conformité
• Vérifier l’information remise aux personnes concernées
• Tester régulièrement le mécanisme d’opposition automatisé
• Contrôler l’absence de commentaires libres dans le logiciel
• Formaliser les relations avec les sous-traitants

À éviter

• Réintroduire les commentaires libres dans PROGIBOS
• Ignorer une opposition à la prospection
• Recourir à des centres d’appel hors Union européenne
• Omettre les justificatifs demandés par la CNIL
• Laisser expirer le délai de mise en conformité

L’information des personnes au titre des articles 12, 13 et 14

La formation restreinte retient que les procès-verbaux d’huissier des 17 décembre 2019 et 13 janvier 2020 démontrent la conformité de l’information communiquée aux personnes avec les articles 12, 13 et 14 du règlement (UE) 2016/679.

L’effectivité du droit d’opposition à la prospection

La possibilité pour les personnes démarchées de s’opposer à la prospection doit être effective. La formation restreinte constate qu’un mécanisme automatisé empêche ensuite toute démarche de prospection, conformément à l’article 21 du règlement (UE) 2016/679.

L’encadrement des traitements et des sous-traitants

La suppression des commentaires libres dans le logiciel satisfait à l’article 5 du règlement. Les courriers adressés aux centres d’appels démontrent que la société ne recourt plus à des sous-traitants hors de l’Union européenne, au regard des articles 44 à 49.

Article 20 et suivants de la loi n° 78-17 du 6 janvier 1978, articles 5, 12, 13, 14, 21 et 44 du règlement (UE) 2016/679, articles 44 à 49 du règlement (UE) 2016/679