Sanction CNIL : conservation excessive des appels, consentement RGPD et amende de 250 000 euros

Le Conseil d’État valide la sanction prononcée par la CNIL contre un responsable de traitement proposant des consultations téléphoniques. Le contrôle sur place a respecté l’article 25 du décret du 29 mai 2019, l’information du procureur ayant été adressée plus de vingt-quatre heures avant la vérification. Le principe du contradictoire n’a pas été méconnu, la société ayant pu consulter les pièces et présenter des observations orales.

L’article 5 du RGPD impose la minimisation des données et une durée de conservation limitée à ce qui est nécessaire. L’enregistrement de l’ensemble des appels n’était pas justifié par les finalités invoquées et une conservation de six ans, notamment pour des données sensibles, excédait la durée recommandée de trois ans.

Au titre de l’article 9 du RGPD, la divulgation volontaire de données sensibles ou l’information sur leur traitement ne remplace pas un consentement explicite. L’article L. 34-5 du code des postes et des communications électroniques exige également un consentement libre, spécifique et informé à la prospection. La mention difficilement accessible d’un partenaire ne permettait pas un consentement suffisamment éclairé.

Sur le fondement de l’article 20 de la loi du 6 janvier 1978 et de l’article 83 du RGPD, la multiplicité de manquements à des règles claires caractérisait une négligence. L’amende de 250 000 euros et la publication limitée dans le temps ont été jugées proportionnées.

⬇️Télécharger la décision version officielle

Le Conseil d’État rejette le recours d’une société de voyance contre une amende de 250 000 euros et la publication de la sanction prononcées par la CNIL. Il valide la régularité du contrôle et de la procédure, ainsi que les manquements relatifs à l’enregistrement des appels, à la conservation des données, au traitement de données sensibles et au consentement requis pour la prospection commerciale.

Une société proposant des consultations de voyance personnalisées par téléphone a fait l’objet d’un contrôle sur place de la CNIL en décembre 2021. À l’issue de la procédure, la formation restreinte lui a infligé une amende administrative de 250 000 euros et ordonné la publication de la sanction.

La société contestait la régularité du contrôle, l’absence d’information sur le droit de se taire et les conditions de clôture de l’instruction. Elle remettait également en cause plusieurs manquements relatifs à l’enregistrement des appels, à la durée de conservation des données, au traitement de données sensibles et au consentement requis pour la prospection commerciale réalisée avec une société partenaire.

Le Conseil d’État a rejeté la requête. Il a confirmé la légalité des manquements retenus ainsi que le caractère proportionné de l’amende et de la publication.

• Information préalable et complète du procureur avant le contrôle sur place.
• Possibilité effective de consulter les pièces et présenter des observations.
• Enregistrement des appels limité aux données nécessaires aux finalités poursuivies.
• Durée de conservation justifiée par la nécessité du traitement.
• Consentement explicite au traitement des données sensibles.
• Consentement libre, spécifique et informé à la prospection commerciale.
• Amende déterminée selon la gravité, la multiplicité et la portée des manquements.

• Courrier de la CNIL au procureur reçu le 3 décembre 2021.
• Pièces du dossier accessibles depuis la notification du rapport.
• Demande tardive de consultation formée le 30 mai 2024.
• Constat de l’enregistrement de l’ensemble des appels téléphoniques.
• Durée de conservation de six ans appliquée aux données.
• Mention difficilement accessible de la société partenaire dans le recueil du consentement.

Le responsable de traitement demeure sanctionné pour plusieurs manquements au RGPD et aux règles de prospection, avec maintien de l’amende et de la publication. La société partenaire ne peut pas être regardée comme ayant recueilli un consentement valable lorsque son identité est présentée de manière difficilement accessible.n

• Maintien de l’amende administrative de 250 000 euros.
• Maintien de la publication de la sanction pendant deux ans.
• Suppression ou limitation des enregistrements d’appels non nécessaires.
• Réduction de la durée de conservation des données sensibles.
• Recueil d’un consentement explicite pour les données relevant de l’article 9 du RGPD.
• Présentation claire de chaque partenaire lors de la prospection.

À faire

• Informer le procureur au moins vingt-quatre heures avant tout contrôle.
• Documenter les finalités justifiant chaque enregistrement d’appel.
• Fixer une durée de conservation objectivement nécessaire.
• Recueillir un consentement explicite pour les données sensibles.
• Identifier clairement tous les partenaires de prospection.

À éviter

• Enregistrer indistinctement l’ensemble des conversations téléphoniques.
• Conserver les données pendant six ans sans justification.
• Assimiler divulgation volontaire et consentement explicite.
• Présenter les partenaires dans une mention difficilement accessible.
• Produire tardivement des observations sans consulter les pièces disponibles.

Le contrôle sur place et l’information du procureur

nL’article 25 du décret du 29 mai 2019 exige une information écrite préalable du procureur de la République, au plus tard vingt-quatre heures avant le contrôle, précisant sa date, son heure, son lieu et son objet. Ces exigences étaient remplies, le courrier ayant été reçu trois jours avant la vérification. Le moyen tiré de l’irrégularité de la procédure a donc été écarté.n

Les principes de minimisation et de limitation de conservation

nL’article 5 du RGPD impose que les données soient limitées à ce qui est nécessaire aux finalités du traitement et conservées pendant une durée n’excédant pas cette nécessité. L’enregistrement de l’ensemble des appels n’était pas justifié par les finalités invoquées. La conservation pendant six ans, notamment de données sensibles, s’écartait significativement de la durée de trois ans recommandée par la CNIL et n’était pas justifiée.n

Le consentement explicite aux données sensibles et à la prospection

nL’article 9 du RGPD impose un consentement explicite pour le traitement de certaines données sensibles. Leur divulgation volontaire ou la simple information sur le traitement ne suffit pas. En outre, l’article L. 34-5 du code des postes et des communications électroniques requiert un consentement libre, spécifique et informé à la prospection. La présentation difficilement accessible du partenaire ne permettait pas un consentement suffisamment éclairé.

Article 25 du décret n° 2019-536 du 29 mai 2019, Article 9 de la Déclaration de 1789, Article 22 de la loi n° 78-17 du 6 janvier 1978, Article 5 du règlement (UE) 2016/679, Article 9 du règlement (UE) 2016/679, Article L. 34-5 du code des postes et des communications électroniques, Article 20 de la loi n° 78-17 du 6 janvier 1978, Article 83 du règlement (UE) 2016/679, Articles 25 et 32 du règlement (UE) 2016/679, Article 58 du règlement (UE) 2016/679, Article 89 du règlement (UE) 2016/679, Article 40 du règlement (UE) 2016/679, Article 42 du règlement (UE) 2016/679, Article L. 761-1 du code de justice administrative, Articles 47 et 48 de la Charte des droits fondamentaux de l’Union européenne