{"id":12516,"date":"2023-06-26T22:39:39","date_gmt":"2023-06-26T20:39:39","guid":{"rendered":"https:\/\/www.agilit.law\/?p=12516"},"modified":"2023-06-26T22:39:39","modified_gmt":"2023-06-26T20:39:39","slug":"voyance-sanction-cnil-amende-150000-euros-societe-voyance-en-ligne-et-par-telephone","status":"publish","type":"post","link":"https:\/\/www.agilit.law\/en\/donnees-caractere-personnel\/voyance-sanction-cnil-amende-150000-euros-societe-voyance-en-ligne-et-par-telephone\/","title":{"rendered":"Voyance et sanction Cnil : une amende de 150\u00a0000 euros inflig\u00e9e \u00e0 une soci\u00e9t\u00e9 de voyance en ligne et par t\u00e9l\u00e9phone"},"content":{"rendered":"

Le 8 juin 2023, <\/em>la formation restreinte de la Commission Nationale de l\u2019Informatique et des Libert\u00e9s (Cnil) a sanctionn\u00e9 la soci\u00e9t\u00e9 KG COM<\/em><\/a> qui proposait des consultations t\u00e9l\u00e9phoniques et en ligne de voyance \u00e0 une amende administrative de 150\u00a0000 \u20ac. Les nombreux manquements caract\u00e9ris\u00e9s par la formation restreinte sont l\u2019occasion de revenir sur les obligations essentielles que doivent respecter les responsables de traitement pour \u00eatre en conformit\u00e9 avec la r\u00e9glementation applicable.<\/em><\/p>\n

\u00a0<\/em><\/p>\n

La soci\u00e9t\u00e9 KG COM proposait des consultations de voyance \u00e0 ses clients, par chat ou par t\u00e9l\u00e9phone.<\/p>\n

Le 1er<\/sup> octobre 2020, le site internet Num\u00e9rama r\u00e9v\u00e8le une violation des donn\u00e9es \u00e0 caract\u00e8re personnel conserv\u00e9es sur le serveur de KG COM. Sans mesures de s\u00e9curit\u00e9 particuli\u00e8res, une base de donn\u00e9es contenant, notamment, des donn\u00e9es de contact et d\u2019identification \u00e9tait librement accessible sur internet jusqu\u2019au 23 juillet 2020.<\/p>\n

Le 21 janvier 2021, une d\u00e9l\u00e9gation de contr\u00f4le de la Cnil proc\u00e8de \u00e0 un contr\u00f4le sur pi\u00e8ces, et il est proc\u00e9d\u00e9 le 15 avril 2021 \u00e0 un contr\u00f4le en ligne.<\/p>\n

Le 7 juillet 2022, la rapporteure de la Cnil faisait notifier \u00e0 KG COM un rapport d\u00e9taillant les manquements relev\u00e9s aux dispositions du RGPD et de la loi Informatique et Libert\u00e9s qu\u2019elle estimait constitu\u00e9s, et proposait le prononc\u00e9 d\u2019une amende administrative et la publicit\u00e9 de la d\u00e9cision.<\/p>\n

La formation restreinte de la Cnil s\u2019est prononc\u00e9e et a publi\u00e9 sa d\u00e9lib\u00e9ration le 8 juin 2023, dans laquelle elle caract\u00e9rise les manquements pr\u00e9sent\u00e9s ci-apr\u00e8s.<\/p>\n

 <\/p>\n

*\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 *<\/p>\n

*<\/p>\n

1. Manquement au principe de minimisation des donn\u00e9es trait\u00e9es<\/strong><\/h3>\n

Ce principe r\u00e9sulte de l\u2019article 5<\/a>, paragraphe 1, c, du RGPD\u00a0:\u00a0\u00ab\u00a0Les donn\u00e9es \u00e0 caract\u00e8re personnel doivent \u00eatre ad\u00e9quates, pertinentes et limit\u00e9es \u00e0 ce qui est n\u00e9cessaire au regard des finalit\u00e9s pour lesquelles elles sont trait\u00e9es (minimisation des donn\u00e9es)<\/em>\u00a0\u00bb.<\/p>\n

Les donn\u00e9es collect\u00e9es doivent donc \u00eatre limit\u00e9es \u00e0 ce qui est strictement n\u00e9cessaire pour la finalit\u00e9 vis\u00e9e par le traitement. Les donn\u00e9es ne permettant pas d\u2019atteindre l\u2019objectif vis\u00e9 par le traitement ne doivent donc pas \u00eatre collect\u00e9es.<\/p>\n

En l\u2019esp\u00e8ce, la rapporteure de la Cnil avait constat\u00e9 que la soci\u00e9t\u00e9 enregistrait de fa\u00e7on syst\u00e9matique l\u2019int\u00e9gralit\u00e9 des appels t\u00e9l\u00e9phoniques pass\u00e9s entre les t\u00e9l\u00e9conseillers et les prospects, et entre les voyants et les clients afin de contr\u00f4ler la qualit\u00e9 du service, d\u2019obtenir une preuve de la souscription du contrat, et afin d\u2019anticiper d\u2019\u00e9ventuelles r\u00e9quisitions judiciaires.<\/p>\n

La soci\u00e9t\u00e9 ne justifiait pas de la n\u00e9cessit\u00e9 d\u2019enregistrer syst\u00e9matiquement chaque conversation t\u00e9l\u00e9phonique alors qu\u2019il lui appartenait, en tant que responsable du traitement, de s\u2019assurer que ce traitement \u00e9tait n\u00e9cessaire \u00e0 ses besoins et aux finalit\u00e9s poursuivies.<\/p>\n

A cet \u00e9gard, la formation restreinte de la Cnil rel\u00e8ve que ce dispositif \u00e9tait particuli\u00e8rement intrusif pour les salari\u00e9s, alors que la finalit\u00e9 tendant au contr\u00f4le de la qualit\u00e9 du service fourni par les t\u00e9l\u00e9conseillers pouvait \u00eatre atteinte par un moyen moins intrusif (un enregistrement ponctuel et al\u00e9atoire par exemple).<\/strong><\/p>\n

La formation restreinte rel\u00e8ve \u00e9galement que la preuve du contrat conclu \u00e0 distance entre la soci\u00e9t\u00e9 et les prospects pouvait \u00eatre rapport\u00e9e de mani\u00e8re moins intrusive par la confirmation \u00e9crite de l\u2019offre, conform\u00e9ment aux dispositions du Code de la consommation qui pr\u00e9voit que, dans le cadre d\u2019une op\u00e9ration de d\u00e9marchage t\u00e9l\u00e9phonique, le consommateur n\u2019est engag\u00e9 par l\u2019offre re\u00e7ue qu\u2019apr\u00e8s l\u2019avoir sign\u00e9e et accept\u00e9e sur un support durable. Ce support durable peut donc permettre la preuve de l\u2019existence du contrat conclu \u00e0 distance, en lieu et place de l\u2019enregistrement syst\u00e9matique des conversations t\u00e9l\u00e9phoniques.<\/p>\n

En outre, la formation restreinte consid\u00e8re que la soci\u00e9t\u00e9 n\u2019avait pas \u00e0 organiser \u00e0 l\u2019avance la collecte de donn\u00e9es \u00e0 caract\u00e8re personnel afin de r\u00e9pondre \u00e0 une r\u00e9quisition judiciaire qui n\u2019est que potentielle.<\/p>\n

Elle rel\u00e8ve ensuite que les enregistrements des conversations comprenaient \u00e9galement la partie de la conversation portant sur la collecte des donn\u00e9es bancaires des clients, sans que l\u2019enregistrement ne puisse \u00eatre interrompu lorsque les clients fournissaient ces informations.<\/strong><\/p>\n

Bien que la soci\u00e9t\u00e9 ait avanc\u00e9 l\u2019importance du co\u00fbt humain et financier que n\u00e9cessiterait la mise en place d\u2019une mesure permettant d\u2019interrompre l\u2019enregistrement lors de la collecte des donn\u00e9es bancaires, la formation restreinte de la Cnil note la protection renforc\u00e9e dont doivent b\u00e9n\u00e9ficier les donn\u00e9es bancaires et rel\u00e8ve que la collecte de ces derni\u00e8res n\u2019\u00e9tait pas pertinente au regard des finalit\u00e9s invoqu\u00e9es par la soci\u00e9t\u00e9\u00a0: r\u00e9servation de rendez-vous, simplification des r\u00e8glements ult\u00e9rieurs, paiement d\u2019abonnements et lutte contre la fraude.<\/p>\n

Le dispositif d\u2019enregistrement syst\u00e9matique des appels pass\u00e9s est donc consid\u00e9r\u00e9 comme excessif au regard de la finalit\u00e9 poursuivie, et un manquement \u00e0 l\u2019article 5, paragraphe 1, c, du RGPD est caract\u00e9ris\u00e9.<\/p>\n

\u00a0<\/strong><\/p>\n

2. Manquement \u00e0 l\u2019obligation de d\u00e9finir et de respecter une dur\u00e9e de conservation proportionn\u00e9e \u00e0 la finalit\u00e9 du traitement<\/strong><\/h3>\n

L\u2019article 5, paragraphe e, 1, du RGPD dispose que les donn\u00e9es \u00e0 caract\u00e8re personnel doivent \u00eatre \u00ab\u00a0conserv\u00e9es sous une forme permettant l’identification des personnes concern\u00e9es pendant une dur\u00e9e n’exc\u00e9dant pas celle n\u00e9cessaire au regard des finalit\u00e9s pour lesquelles elles sont trait\u00e9es<\/em>\u00a0\u00bb.<\/p>\n

La soci\u00e9t\u00e9 KG COM fixait \u00e0 trois ans \u00e0 compter de la fin de la relation commerciale la dur\u00e9e de conservation des donn\u00e9es de ses clients.<\/p>\n

Pourtant, elle conservait, dans sa base de donn\u00e9es en base active (une base facilement accessible dans l\u2019environnement de travail imm\u00e9diat), les donn\u00e9es de clients n\u2019ayant pas eu de consultation avec un voyant depuis plus de trois ans.<\/p>\n

La soci\u00e9t\u00e9 avait avanc\u00e9 que la conservation en base active des donn\u00e9es \u00e9tait n\u00e9cessaire pour r\u00e9identifier un client qui n\u2019aurait pas recouru \u00e0 ses services de voyance durant une longue p\u00e9riode.<\/strong><\/p>\n

La formation restreinte de la Cnil r\u00e9fute cet argument et consid\u00e8re qu\u2019il ne justifie pas une conservation en base active de ces donn\u00e9es.<\/strong><\/p>\n

Un manquement \u00e0 l\u2019article 5, paragraphe e, 1, du RGPD est donc caract\u00e9ris\u00e9.<\/p>\n

 <\/p>\n

3. Manquement \u00e0 l\u2019obligation de traiter licitement les donn\u00e9es<\/strong><\/h3>\n

L\u2019article 6<\/a> du RGPD liste six conditions ou \u00ab\u00a0bases juridiques\u00a0\u00bb permettant de d\u00e9terminer qu\u2019un traitement de donn\u00e9es \u00e0 caract\u00e8re personnel mis en \u0153uvre est licite.<\/p>\n

Ces \u00ab\u00a0bases juridique\u00a0\u00bb autorisent l\u00e9galement la mise en \u0153uvre d\u2019un traitement lorsque\u00a0:<\/p>\n