L’essentiel
L’article 5 du RGPD impose la minimisation des données et une durée de conservation limitée à ce qui est nécessaire. L’enregistrement de l’ensemble des appels n’était pas justifié par les finalités invoquées et une conservation de six ans, notamment pour des données sensibles, excédait la durée recommandée de trois ans.
Au titre de l’article 9 du RGPD, la divulgation volontaire de données sensibles ou l’information sur leur traitement ne remplace pas un consentement explicite. L’article L. 34-5 du code des postes et des communications électroniques exige également un consentement libre, spécifique et informé à la prospection. La mention difficilement accessible d’un partenaire ne permettait pas un consentement suffisamment éclairé.
Sur le fondement de l’article 20 de la loi du 6 janvier 1978 et de l’article 83 du RGPD, la multiplicité de manquements à des règles claires caractérisait une négligence. L’amende de 250 000 euros et la publication limitée dans le temps ont été jugées proportionnées.
En résumé
- Rejet de la demande d’annulation de la sanction administrative CNIL.
- Contrôle sur place conforme à l’article 25 du décret du 29 mai 2019.
- Enregistrement généralisé et conservation de six ans contraires à l’article 5 du RGPD.
- Consentement explicite requis pour les données sensibles traitées.
- Consentement insuffisamment éclairé pour la prospection du partenaire.
- Amende et publication jugées proportionnées au regard des manquements.
Contexte de l’affaire
La société contestait la régularité du contrôle, l’absence d’information sur le droit de se taire et les conditions de clôture de l’instruction. Elle remettait également en cause plusieurs manquements relatifs à l’enregistrement des appels, à la durée de conservation des données, au traitement de données sensibles et au consentement requis pour la prospection commerciale réalisée avec une société partenaire.
Le Conseil d’État a rejeté la requête. Il a confirmé la légalité des manquements retenus ainsi que le caractère proportionné de l’amende et de la publication.
Conditions / critères (ce que le juge vérifie)
- Information préalable et complète du procureur avant le contrôle sur place.
- Possibilité effective de consulter les pièces et présenter des observations.
- Enregistrement des appels limité aux données nécessaires aux finalités poursuivies.
- Durée de conservation justifiée par la nécessité du traitement.
- Consentement explicite au traitement des données sensibles.
- Consentement libre, spécifique et informé à la prospection commerciale.
- Amende déterminée selon la gravité, la multiplicité et la portée des manquements.
Preuves retenues (ce qui a fait pencher la décision)
- Courrier de la CNIL au procureur reçu le 3 décembre 2021.
- Pièces du dossier accessibles depuis la notification du rapport.
- Demande tardive de consultation formée le 30 mai 2024.
- Constat de l’enregistrement de l’ensemble des appels téléphoniques.
- Durée de conservation de six ans appliquée aux données.
- Mention difficilement accessible de la société partenaire dans le recueil du consentement.
Conséquences pratiques
- Maintien de l’amende administrative de 250 000 euros.
- Maintien de la publication de la sanction pendant deux ans.
- Suppression ou limitation des enregistrements d’appels non nécessaires.
- Réduction de la durée de conservation des données sensibles.
- Recueil d’un consentement explicite pour les données relevant de l’article 9 du RGPD.
- Présentation claire de chaque partenaire lors de la prospection.
Checklist pour Avocats
À faire
- Informer le procureur au moins vingt-quatre heures avant tout contrôle.
- Documenter les finalités justifiant chaque enregistrement d’appel.
- Fixer une durée de conservation objectivement nécessaire.
- Recueillir un consentement explicite pour les données sensibles.
- Identifier clairement tous les partenaires de prospection.
À éviter
- Enregistrer indistinctement l’ensemble des conversations téléphoniques.
- Conserver les données pendant six ans sans justification.
- Assimiler divulgation volontaire et consentement explicite.
- Présenter les partenaires dans une mention difficilement accessible.
- Produire tardivement des observations sans consulter les pièces disponibles.
FAQ / Q-R juridiques
Le contrôle sur place et l’information du procureur
nL’article 25 du décret du 29 mai 2019 exige une information écrite préalable du procureur de la République, au plus tard vingt-quatre heures avant le contrôle, précisant sa date, son heure, son lieu et son objet. Ces exigences étaient remplies, le courrier ayant été reçu trois jours avant la vérification. Le moyen tiré de l’irrégularité de la procédure a donc été écarté.n
Les principes de minimisation et de limitation de conservation
nL’article 5 du RGPD impose que les données soient limitées à ce qui est nécessaire aux finalités du traitement et conservées pendant une durée n’excédant pas cette nécessité. L’enregistrement de l’ensemble des appels n’était pas justifié par les finalités invoquées. La conservation pendant six ans, notamment de données sensibles, s’écartait significativement de la durée de trois ans recommandée par la CNIL et n’était pas justifiée.n
Le consentement explicite aux données sensibles et à la prospection
nL’article 9 du RGPD impose un consentement explicite pour le traitement de certaines données sensibles. Leur divulgation volontaire ou la simple information sur le traitement ne suffit pas. En outre, l’article L. 34-5 du code des postes et des communications électroniques requiert un consentement libre, spécifique et informé à la prospection. La présentation difficilement accessible du partenaire ne permettait pas un consentement suffisamment éclairé.
Textes cités
RGPD & protection des données
Approfondir ce sujet :