{"id":13902,"date":"2024-03-10T19:59:08","date_gmt":"2024-03-10T18:59:08","guid":{"rendered":"https:\/\/www.agilit.law\/?p=13902"},"modified":"2024-04-10T15:50:31","modified_gmt":"2024-04-10T13:50:31","slug":"prospection-commerciale-recours-a-des-courtiers-en-donnees","status":"publish","type":"post","link":"https:\/\/www.agilit.law\/en\/donnees-caractere-personnel\/prospection-commerciale-recours-a-des-courtiers-en-donnees\/","title":{"rendered":"Prospection commerciale : le recours \u00e0 des courtiers en donn\u00e9es n’exon\u00e8re pas le d\u00e9marcheur de sa responsabilit\u00e9 !"},"content":{"rendered":"

Le 31 janvier 2024,<\/a> la formation restreinte de la Cnil a sanctionn\u00e9 la soci\u00e9t\u00e9 FORIOU, en pronon\u00e7ant une amende administrative de 310 000 \u20ac \u00e0 son encontre, au titre de divers manquements au RGPD, dont notamment la n\u00e9gligence dont la soci\u00e9t\u00e9 a fait preuve lors de la r\u00e9utilisation de donn\u00e9es. En effet, la formation restreinte de la Cnil rel\u00e8ve que la soci\u00e9t\u00e9 n’a pas v\u00e9rifi\u00e9, avant de proc\u00e9der \u00e0 des campagnes de d\u00e9marchage t\u00e9l\u00e9phonique, que les donn\u00e9es achet\u00e9es aupr\u00e8s de courtiers en donn\u00e9es, avait \u00e9t\u00e9 collect\u00e9es de fa\u00e7on \u00e0 garantir une base l\u00e9gale pour le traitement par ses soins desdites donn\u00e9es \u00e0 des fins de prospection par voie t\u00e9l\u00e9phonique.<\/em><\/p>\n

 <\/p>\n

Il est crucial de prendre des pr\u00e9cautions sp\u00e9cifiques en cas de recours, pour l’achat de bases de donn\u00e9es, \u00e0 des courtiers en donn\u00e9es (“data brokers”), en vue de leur r\u00e9utilisation \u00e0 des fins de prospection commerciale. Pour rappel, les r\u00e8gles \u00e0 suivre dans ce domaine sont expos\u00e9es ici<\/a> sur le site de la Cnil. Il convient par ailleurs de souligner que la prospection commerciale, englobant de telles pratiques, a \u00e9t\u00e9 identifi\u00e9e comme l’une des priorit\u00e9s de contr\u00f4le de la Cnil en 2022<\/a>, et que cette th\u00e9matique a d\u00e9j\u00e0 donn\u00e9 lieu \u00e0 de nombreuses sanctions de la formation restreinte de la Cnil en 2023 telles que celles prises \u00e0 l’encontre de Canal +<\/a> et de Tagada Media.<\/a><\/p>\n

 <\/p>\n

Dans cette d\u00e9cision \u00e0 l’encontre de la soci\u00e9t\u00e9 FORIOU, la formation restreinte de la Cnil sanctionne directement le r\u00e9-utilisateur de donn\u00e9es provenant de courtiers en donn\u00e9es sur le fondement d’un manquement \u00e0 l’obligation de traiter les donn\u00e9es de mani\u00e8re “licite” (cf. absence de base l\u00e9gale permettant \u00e0 la soci\u00e9t\u00e9 FORIOU de mettre en \u0153uvre le traitement visant \u00e0 des op\u00e9rations de d\u00e9marchage t\u00e9l\u00e9phonique).<\/strong><\/p>\n

 <\/p>\n

*\u00a0 \u00a0 \u00a0 \u00a0 \u00a0 *<\/p>\n

*<\/p>\n

 <\/p>\n

La formation restreinte de la Cnil rappelle qu’en vertu de l’article 6 du RGPD, les actions de prospection commerciale par appel t\u00e9l\u00e9phonique ne peuvent \u00eatre r\u00e9alis\u00e9es que sur la base l\u00e9gale de l’int\u00e9r\u00eat l\u00e9gitime<\/strong> de la soci\u00e9t\u00e9 ou sur celle du consentement<\/strong>.<\/p>\n

En l’esp\u00e8ce, la soci\u00e9t\u00e9 FORIOU proc\u00e8de \u00e0 des campagnes de d\u00e9marchages t\u00e9l\u00e9phoniques pour promouvoir les programmes et carte de fid\u00e9lit\u00e9 qu’elle commercialise. Ses op\u00e9rations de prospections commerciales sont r\u00e9alis\u00e9es \u00e0 partir de fichiers de prospects achet\u00e9s aupr\u00e8s de plusieurs courtiers en donn\u00e9es, collectant les donn\u00e9es par l’interm\u00e9diaire de formulaire de participation \u00e0 des jeux de concours en ligne et de tests de produits.<\/p>\n

Toutefois, la formation restreinte de la Cnil pr\u00e9cise que la soci\u00e9t\u00e9 n’a pas identifi\u00e9 clairement la base l\u00e9gale sur laquelle elle se fondait pour proc\u00e9der \u00e0 ce type de traitements.\u00a0 Elle a donc analys\u00e9 successivement les deux types de bases l\u00e9gales susceptibles d’\u00eatre applicables.<\/p>\n

 <\/p>\n

1. Sur la base l\u00e9gale de la poursuite des int\u00e9r\u00eats l\u00e9gitimes<\/em><\/h4>\n

 <\/p>\n

La formation restreinte de la Cnil rappelle que, si la prospection commerciale par voie t\u00e9l\u00e9phonique peut \u00eatre r\u00e9alis\u00e9e sur la base de l\u2019int\u00e9r\u00eat l\u00e9gitime de la soci\u00e9t\u00e9, cette derni\u00e8re doit s\u2019assurer que le traitement ne heurte pas les droits et int\u00e9r\u00eats des personnes dont les donn\u00e9es sont trait\u00e9es, compte tenu de leurs attentes raisonnables<\/strong>. A cette fin, elle doit notamment s’assurer qu’elle est mentionn\u00e9e, sur les formulaires de collecte de donn\u00e9es, parmi les soci\u00e9t\u00e9s pouvant \u00eatre destinataires desdites donn\u00e9es.<\/p>\n

En l’esp\u00e8ce, la soci\u00e9t\u00e9 FORIOU se pr\u00e9vaut des engagements contractuels fournis par les courtiers en donn\u00e9es \u00e0 qui elle a recours, qui pr\u00e9voient que la soci\u00e9t\u00e9 doit \u00eatre mentionn\u00e9e, sur les formulaires de collecte de donn\u00e9es, parmi les destinataires des donn\u00e9es, et ajoute qu’elle proc\u00e8de \u00e0 des contr\u00f4les r\u00e9guliers relatifs \u00e0 la conformit\u00e9 desdits formulaires de collecte de donn\u00e9es et des fichiers livr\u00e9s. Elle soutient donc qu’elle peut se pr\u00e9valoir de la base l\u00e9gale de l’int\u00e9r\u00eat l\u00e9gitime pour effectuer ses op\u00e9rations de d\u00e9marchage t\u00e9l\u00e9phonique, et qu’elle ne peut \u00eatre tenue responsable de l’absence de mention de sa d\u00e9nomination parmi les destinataires des donn\u00e9es sur les formulaires de collecte utilis\u00e9s par les courtiers en donn\u00e9es.<\/p>\n

Toutefois, la formation restreinte de la Cnil rappelle qu’il appartenant \u00e0 la soci\u00e9t\u00e9 FORIOU, en sa qualit\u00e9 de responsable de traitement, de v\u00e9rifier elle-m\u00eame si les conditions lui permettant de r\u00e9aliser des op\u00e9rations de prospection commerciale \u00e9taient respect\u00e9es, et que le fait d’avoir obtenu de la part des courtiers des engagements contractuels en ce sens ne l’exon\u00e9rait pas de proc\u00e9der \u00e0 des audits et \u00e0 des v\u00e9rifications \u00e0 ces fins (voir \u00e9galement en ce sens la sanction rendue \u00e0 l’encontre de la soci\u00e9t\u00e9 EDF<\/a> par la formation restreinte de la Cnil qui avait consid\u00e9r\u00e9 qu’un engagement contractuel de la part de son courtier en donn\u00e9es de respecter le RGPD, et plus g\u00e9n\u00e9ralement les dispositions applicables en mati\u00e8re de traitements de donn\u00e9es \u00e0 caract\u00e8re personnel, n’\u00e9tait pas une mesure suffisante pour que cet organisme soit exon\u00e9r\u00e9 de sa responsabilit\u00e9).<\/p>\n

La formation restreinte de la Cnil consid\u00e8re donc que la soci\u00e9t\u00e9 ne peut pas se fonder sur la base l\u00e9gale de l’int\u00e9r\u00eat l\u00e9gitime puisque cette derni\u00e8re n’est pas syst\u00e9matiquement mentionn\u00e9e, sur les formulaires de collecte de donn\u00e9es utilis\u00e9s par les courtiers auxquels elle a recourt, dans la liste des partenaires susceptibles de d\u00e9marcher ult\u00e9rieurement par t\u00e9l\u00e9phone les personnes concern\u00e9es. De ce fait, ces personnes ne peuvent l\u00e9gitimement s’attendre \u00e0 recevoir des offres commerciales de la part de la soci\u00e9t\u00e9 FORIOU.<\/p>\n

La formation restreinte consid\u00e8re en effet que, dans ces conditions, la protection des int\u00e9r\u00eats des personnes concern\u00e9es prime sur les int\u00e9r\u00eats l\u00e9gitimes de la soci\u00e9t\u00e9 et que cette derni\u00e8re ne peut alors pas se pr\u00e9valoir de cette base l\u00e9gale.\u00a0<\/strong><\/p>\n

 <\/p>\n

2. Sur la base l\u00e9gale du consentement<\/em><\/h4>\n

 <\/p>\n

La formation restreinte de la Cnil v\u00e9rifie ensuite si la soci\u00e9t\u00e9 FORIOU peut se fonder, pour son traitement de d\u00e9marchage t\u00e9l\u00e9phonique, sur la base l\u00e9gale du consentement des personnes concern\u00e9es.<\/p>\n

A cet \u00e9gard, elle rel\u00e8ve que les courtiers en donn\u00e9es auxquels la soci\u00e9t\u00e9 fait appel collectent des donn\u00e9es par l’interm\u00e9diaire de formulaires, dont la conception ne permet pas aux utilisateurs de manifester clairement leur consentement et les incite fortement \u00e0 accepter la transmission de leurs donn\u00e9es<\/strong>.<\/p>\n

La soci\u00e9t\u00e9, quant \u00e0 elle, soutient que m\u00eame si les manquements existent, ils ne sont repr\u00e9sentatifs ni d’une volont\u00e9 de m\u00e9connaitre ses obligations, ni d’une pratique g\u00e9n\u00e9ralis\u00e9e.<\/p>\n

 <\/p>\n

S’agissant de l’\u00e9l\u00e9ment intentionnel du manquement, la formation restreinte de la Cnil indique que cet \u00e9l\u00e9ment peut \u00eatre pris en compte pour ce qui concerne la d\u00e9termination de la sanction encourue (et notamment pour ce qui concerne le montant de l’amende administrative pouvant \u00eatre prononc\u00e9e) mais qu’il est sans incidence sur la caract\u00e9risation du manquement<\/strong>, ce dernier pouvant r\u00e9sulter d’une n\u00e9gligence<\/strong>.<\/p>\n

 <\/p>\n

S’agissant de l’\u00e9l\u00e9ment mat\u00e9riel, c’est-\u00e0-dire des formulaires de collecte des donn\u00e9es, la formation restreinte de la Cnil consid\u00e8re que l\u2019apparence trompeuse de ces formulaires ne permet pas de recueillir un consentement libre et univoque<\/strong>, conforme aux exigences du RGPD, qui permettrait de fonder les op\u00e9rations de prospection de la soci\u00e9t\u00e9.<\/p>\n

 <\/p>\n

Exemples de formulaires :<\/p>\n

\"courtiers<\/p>\n

\"courtiers<\/p>\n

En effet, la formation restreinte rel\u00e8ve que, sur ces formulaires, l’utilisateur peut soit cliquer sur un bouton permettant \u00e0 la fois de valider sa participation au jeu et d\u2019accepter que ses donn\u00e9es soient utilis\u00e9es pour lui envoyer les offres des partenaires de la soci\u00e9t\u00e9 \u00e0 l’origine de la collecte des donn\u00e9es, soit cliquer sur un lien de type \u00ab\u202fCliquez ici\u202f\u00bb ou \u00ab\u202fVoir ici\u202f\u00bb lui permettant de continuer (c’est-\u00e0-dire de valider le formulaire) mais sans recevoir les offres des partenaires.<\/p>\n

En outre, s’agissant de l’aper\u00e7u global des interfaces, la formation restreinte de la Cnil pr\u00e9cise, s’agissant des boutons “JE VALIDE” , “VALIDER” ou encore “JE REPONDS AUX QUESTIONS POUR POSTULER”, que :<\/p>\n