{"id":13996,"date":"2024-04-10T22:55:00","date_gmt":"2024-04-10T20:55:00","guid":{"rendered":"https:\/\/www.agilit.law\/?p=13996"},"modified":"2024-04-10T23:09:56","modified_gmt":"2024-04-10T21:09:56","slug":"prospection-commerciale-responsabilite-renforcee-reutilisateur-donnees-achetees-databroker","status":"publish","type":"post","link":"https:\/\/www.agilit.law\/en\/donnees-caractere-personnel\/prospection-commerciale-responsabilite-renforcee-reutilisateur-donnees-achetees-databroker\/","title":{"rendered":"Prospection commerciale : responsabilit\u00e9 renforc\u00e9e pour le r\u00e9-utilisateur des donn\u00e9es achet\u00e9es aupr\u00e8s d’un data broker!"},"content":{"rendered":"

Le 4 avril 2024,<\/a> la formation restreinte de la Cnil a sanctionn\u00e9 la soci\u00e9t\u00e9 HUBSIDE.STORE, en pronon\u00e7ant une amende administrative de 525 000 \u20ac \u00e0 son encontre, au titre de divers manquements au RGPD, dont notamment la n\u00e9gligence dont la soci\u00e9t\u00e9 a fait preuve lors de la r\u00e9utilisation de donn\u00e9es \u00e0 caract\u00e8re personnel. En effet, la formation restreinte de la Cnil rel\u00e8ve que la soci\u00e9t\u00e9 a utilis\u00e9 \u00e0 des fins de prospection commerciale des donn\u00e9es fournies par des courtiers en donn\u00e9es, sans s\u2019assurer que les personnes concern\u00e9es avaient valablement consenti \u00e0 \u00eatre d\u00e9march\u00e9es.<\/em><\/p>\n

 <\/p>\n

Il est crucial de prendre des pr\u00e9cautions sp\u00e9cifiques en cas de recours, pour l’achat de bases de donn\u00e9es, \u00e0 des courtiers en donn\u00e9es (“data brokers”), en vue de leur r\u00e9utilisation \u00e0 des fins de prospection commerciale. Pour rappel, les r\u00e8gles \u00e0 suivre dans ce domaine sont expos\u00e9es ici<\/a> sur le site de la Cnil. Il convient par ailleurs de souligner que la prospection commerciale, englobant de telles pratiques, avait \u00e9t\u00e9 identifi\u00e9e comme l’une des priorit\u00e9s de contr\u00f4le de la Cnil en 2022<\/a>, et que cette th\u00e9matique a d\u00e9j\u00e0 donn\u00e9 lieu \u00e0 de nombreuses sanctions de la formation restreinte de la Cnil en 2023 mais \u00e9galement tr\u00e8s r\u00e9cemment \u00e0 l’encontre de la soci\u00e9t\u00e9 FORIOU<\/a> (pour en savoir plus, notre article sur ce sujet : Prospection commerciale : le recours \u00e0 des courtiers en donn\u00e9es n’exon\u00e8re pas le d\u00e9marcheur de sa responsabilit\u00e9 !)\u00a0<\/a><\/p>\n

 <\/p>\n

Dans cette d\u00e9cision \u00e0 l’encontre de la soci\u00e9t\u00e9 HUBSIDE.STORE, la formation restreinte de la CNIL sanctionne directement l’organisme qui a recours \u00e0 des courtiers en donn\u00e9es puisqu’il n’a pas veill\u00e9 en tant qu’utilisateur des donn\u00e9es \u00e0 ce que les personnes concern\u00e9es manifestent leur accord pour transmettre leurs donn\u00e9es \u00e0 des fins de prospection par le biais d’un consentement \u00e9clair\u00e9 et d\u00e9nu\u00e9 d’ambigu\u00eft\u00e9.<\/p>\n

 <\/p>\n

 <\/p>\n

*\u00a0 \u00a0 \u00a0 \u00a0 \u00a0 *<\/p>\n

*<\/p>\n

 <\/p>\n

 <\/p>\n

A\/ Sur le manquement \u00e0 l\u2019obligation de recueillir le consentement des personnes concern\u00e9es pour la mise en \u0153uvre de prospection commerciale par voie \u00e9lectronique<\/em><\/strong><\/p>\n

 <\/p>\n

La formation restreinte de la CNIL rappelle tout d’abord qu’en vertu de l’article L.34-5 du Code des postes et des communications \u00e9lectroniques (ou CPCE), “Est interdite la prospection directe au moyen de syst\u00e8me automatis\u00e9 de communications \u00e9lectroniques (…) d’un t\u00e9l\u00e9copieur ou de courriers \u00e9lectroniques utilisant les coordonn\u00e9es d’une personne physique, abonn\u00e9 ou utilisateur, qui n’a pas exprim\u00e9 pr\u00e9alablement son consentement \u00e0 recevoir des prospections directes par ce moyen”.\u00a0<\/em><\/p>\n

 <\/p>\n

En l’esp\u00e8ce, la soci\u00e9t\u00e9 HUBSIDE.STORE proc\u00e8de \u00e0 des op\u00e9rations de prospection commerciale par SMS \u00e0 partir de fichiers de prospects achet\u00e9s aupr\u00e8s de courtiers en donn\u00e9es. Ces derniers collectent des donn\u00e9es de personnes concern\u00e9es par l\u2019interm\u00e9diaire de formulaires de participation \u00e0 des jeux de concours en ligne dont la conception ne permet pas aux utilisateurs de manifester un consentement conforme aux exigences du RGPD.<\/p>\n

 <\/p>\n

La soci\u00e9t\u00e9 HUBSIDE.STORE quant \u00e0 elle soul\u00e8ve qu\u2019elle ne peut \u00eatre tenue responsable des agissements non conformes de son prestataire “fournisseur de donn\u00e9es”, d\u2019autant que celui-ci avait pris envers la soci\u00e9t\u00e9 l’engagement contractuel de recueillir le consentement des personnes concern\u00e9es.<\/p>\n

 <\/p>\n

La CNIL rappelle d\u2019une part, que le consentement peut avoir \u00e9t\u00e9 recueilli au moment de la collecte initiale des donn\u00e9es par le primo-collectant mais qu\u2019\u00e0 d\u00e9faut il revient \u00e0 l\u2019organisme qui r\u00e9alise les op\u00e9rations de prospections de recueillir un tel consentement. D\u2019autre part, elle consid\u00e8re qu\u2019en sa qualit\u00e9 de responsable de traitement, la soci\u00e9t\u00e9 HUBSIDE.STORE est tenue de v\u00e9rifier elle-m\u00eame que les conditions lui permettant de r\u00e9aliser des op\u00e9rations de prospections commerciales sont r\u00e9unies. De ce fait, un simple engagement contractuel du prestataire, ne peut exon\u00e9rer le responsable de traitement de sa responsabilit\u00e9 (voir \u00e9galement en ce sens la sanction rendue \u00e0 l\u2019encontre de la soci\u00e9t\u00e9 EDF<\/a> et D\u00e9lib\u00e9ration SAN-2022-021 du 24 novembre 2022 – L\u00e9gifrance (legifrance.gouv.fr)<\/a>.<\/p>\n

 <\/p>\n

S\u2019agissant des formulaires mis en \u0153uvre par le data broker, la formation restreinte consid\u00e8re qu\u2019ils n\u2019\u00e9clairent pas suffisamment les personnes concern\u00e9es sur le fait qu\u2019elles consentent \u00e0 la transmission de leurs donn\u00e9es \u00e0 des fins de prospection commerciale.<\/p>\n

Exemple de formulaire :<\/p>\n

\"courtiers\"courtiers<\/p>\n

 <\/p>\n

En effet, la formation restreinte rel\u00e8ve que, sur ces formulaires, l’utilisateur peut soit cliquer sur un bouton permettant \u00e0 la fois de valider sa participation au jeu et d\u2019accepter que ses donn\u00e9es soient utilis\u00e9es pour lui envoyer les offres des partenaires du data broker \u00e0 l’origine de la collecte des donn\u00e9es, soit cliquer sur un lien de type \u00ab\u202fCliquez ici\u202f\u00bb ou \u00ab\u202fVoir ici\u202f\u00bb lui permettant de continuer (c’est-\u00e0-dire de valider le formulaire) mais sans recevoir les offres des partenaires.<\/p>\n

 <\/p>\n

S’agissant de l’aper\u00e7u global des interfaces, la formation restreinte de la CNIL pr\u00e9cise, s’agissant des boutons “JE VALIDE”, “VALIDER” ou encore “JE REPONDS AUX QUESTIONS POUR POSTULER”, que :<\/p>\n