{"id":5973,"date":"2019-12-07T13:03:22","date_gmt":"2019-12-07T12:03:22","guid":{"rendered":"https:\/\/www.agilit.law\/?p=5973"},"modified":"2021-10-27T00:26:36","modified_gmt":"2021-10-26T22:26:36","slug":"cnil-sanction-demarchage-telephonique-illicite","status":"publish","type":"post","link":"https:\/\/www.agilit.law\/en\/donnees-caractere-personnel\/cnil-sanction-demarchage-telephonique-illicite\/","title":{"rendered":"D\u00e9marchage t\u00e9l\u00e9phonique illicite : la Cnil prononce une amende de 500 000 \u20ac !"},"content":{"rendered":"

Apr\u00e8s avoir re\u00e7u une plainte d\u2019une personne<\/strong> indiquant \u00eatre d\u00e9march\u00e9e tr\u00e8s r\u00e9guli\u00e8rement par t\u00e9l\u00e9phone par la soci\u00e9t\u00e9 Futura Internationale, alors m\u00eame que cette personne avait indiqu\u00e9 au t\u00e9l\u00e9op\u00e9rateur ne plus vouloir \u00eatre appel\u00e9e et qu\u2019elle avait \u00e9galement exerc\u00e9 son droit d\u2019opposition par courrier aupr\u00e8s de la soci\u00e9t\u00e9 pr\u00e9cit\u00e9e, la Commission nationale de l\u2019informatique et des libert\u00e9s (ci-apr\u00e8s la \u00ab\u00a0Cnil\u00a0\u00bb) a proc\u00e9d\u00e9 \u00e0 un contr\u00f4le<\/strong> aupr\u00e8s de ladite soci\u00e9t\u00e9.<\/p>\n

Ce contr\u00f4le a permis de d\u00e9celer divers manquements \u00e0 la r\u00e9glementation applicable en mati\u00e8re de protection des donn\u00e9es \u00e0 caract\u00e8re personnel, lesquels ont \u00e9t\u00e9 sanctionn\u00e9s par la Cnil\u00a0(cf. Cnil, D\u00e9lib\u00e9ration de la formation restreinte n\u00b0SAN-2019-010 du 21 novembre 2019 concernant la soci\u00e9t\u00e9 Futura Internationale<\/a>).<\/p>\n

 <\/p>\n

Manquement 1 : le non-respect de l’obligation d’informer les personnes concern\u00e9es et de tenir compte de leur droit d\u2019opposition \u00e0 la prospection t\u00e9l\u00e9phonique<\/strong><\/h3>\n

Pour m\u00e9moire, aux termes des articles 13 et 14 R\u00e8glement g\u00e9n\u00e9ral sur la protection des donn\u00e9es dit \u00ab\u00a0RGPD\u00a0\u00bb, un traitement de donn\u00e9es \u00e0 caract\u00e8re personnel ne peut \u00eatre mis en \u0153uvre que si les personnes concern\u00e9es sont inform\u00e9es de ce traitement, ainsi que des caract\u00e9ristiques de celui-ci (finalit\u00e9s du traitement, destinataires des donn\u00e9es, dur\u00e9es de conservation des donn\u00e9es, existence de transferts de donn\u00e9es hors Union europ\u00e9enne,…) mais \u00e9galement des droits qu’elle d\u00e9tiennent sur leurs donn\u00e9es (droit d’acc\u00e8s, de rectification, d’effacement de leurs donn\u00e9es, droit d’opposition au traitement,…).<\/p>\n

Or, \u00e0 l\u2019occasion du contr\u00f4le de la Cnil au sein de la soci\u00e9t\u00e9 Futura Internationale, il avait \u00e9t\u00e9 relev\u00e9 que les personnes faisant l\u2019objet de sollicitations t\u00e9l\u00e9phoniques (i) soit n’\u00e9taient destinataires d\u2019aucune information sur le traitement de leurs donn\u00e9es \u00e0 caract\u00e8re personnel (cf. absence d\u2019information<\/strong>), (ii) soit \u00e9taient uniquement inform\u00e9es de l\u2019enregistrement de la conversation sans qu\u2019aucune autre information ne leur soit communiqu\u00e9e quant au traitement de leurs donn\u00e9es \u00e0 caract\u00e8re personnel (cf. information incompl\u00e8te<\/strong>). En outre, pour rejeter l’argument de la soci\u00e9t\u00e9 contr\u00f4l\u00e9e selon lequel un courrier d’information \u00e9tait ensuite adress\u00e9 aux personnes qui avaient \u00e9t\u00e9 appel\u00e9es, la Cnil souligne que l\u2019envoi d\u2019un courrier \u00e9lectronique post\u00e9rieurement \u00e0 l\u2019appel t\u00e9l\u00e9phonique alors que les donn\u00e9es sont collect\u00e9es directement aupr\u00e8s de la personne concern\u00e9e ne permet pas en tant que tel de satisfaire l\u2019obligation d\u2019informer la personne concern\u00e9e au moment de la collecte de ses donn\u00e9es<\/strong>. En effet, selon la Cnil, \u00ab\u00a0une information, m\u00eame sommaire, doit lui \u00eatre communiqu\u00e9e par l\u2019interm\u00e9diaire du service vocal ou du t\u00e9l\u00e9op\u00e9rateur<\/em><\/strong>, en lui offrant la possibilit\u00e9 d\u2019obtenir communication d\u2019une information compl\u00e8te soit gr\u00e2ce \u00e0 l\u2019activation d\u2019une touche sur son clavier t\u00e9l\u00e9phonique, soit par l\u2019envoi d\u2019un courriel par exemple<\/em>\u00a0\u00bb.<\/p>\n

Par ailleurs, pour ce qui concerne les op\u00e9rations de t\u00e9l\u00e9marketing<\/a>, il est rappel\u00e9 que la personne concern\u00e9e doit \u00eatre mise en mesure de s\u2019opposer \u00e0 l’utilisation de son num\u00e9ro de t\u00e9l\u00e9phone \u00e0 cette fin de mani\u00e8re simple et gratuite <\/strong>(cf. article 21 du RGPD).<\/p>\n

Aussi, outre le non-respect de l’obligation d’informer les personnes concern\u00e9es du traitement de leurs donn\u00e9es \u00e0 caract\u00e8re personnel, la Cnil rel\u00e8ve que la soci\u00e9t\u00e9 Futura internationale aurait d\u00fb \u00ab \u00eatre en mesure de s\u2019assurer que l\u2019opposition exprim\u00e9e par les int\u00e9ress\u00e9s \u00e9tait respect\u00e9e et que les personnes ayant faire part de leur opposition ne re\u00e7oivent plus d\u2019appels de prospection de la part de ses sous-traitants<\/em> \u00bb. Or, en l\u2019esp\u00e8ce, aucune proc\u00e9dure de gestion des courriers et de traitement des demandes d\u2019exercice des droits des personnes concern\u00e9es n\u2019avait \u00e9t\u00e9 mise en place par la soci\u00e9t\u00e9 Futura Internationale et aucune liste d\u2019opposition efficace n\u2019\u00e9tait tenue \u00e0 jour<\/strong>, ce qui ne permettait pas de tenir compte de mani\u00e8re effective de l\u2019exercice du droit d\u2019opposition et d\u2019en r\u00e9percuter les cons\u00e9quences dans les divers outils ou applications utilis\u00e9s par la soci\u00e9t\u00e9 et ses sous-traitants (cf. les centres d\u2019appel).<\/p>\n

 <\/p>\n

Manquement 2 : des commentaires excessifs non conformes au principe de minimisation<\/strong><\/h3>\n

La r\u00e9glementation applicable en mati\u00e8re de protection des donn\u00e9es \u00e0 caract\u00e8re personnel impose de ne traiter que des donn\u00e9es \u00e0 caract\u00e8re personnel qui sont ad\u00e9quates, pertinentes et limit\u00e9es \u00e0 ce qui est n\u00e9cessaire au regard des finalit\u00e9s poursuivies<\/strong> (cf. principe de minimisation<\/strong> consacr\u00e9 \u00e0 l\u2019article 5, 1, c) du RGPD). Par ailleurs, l’article 9 du RGPD rappelle que le traitement de donn\u00e9es dites “sensibles”, telles que par exemple les informations relatives \u00e0 l’\u00e9tat de sant\u00e9 d’une personne, est interdit, sauf exceptions sp\u00e9cifiquement pr\u00e9vues par le texte.<\/p>\n

Pour m\u00e9moire, ces principes s\u2019appliquent quelles que soient les modalit\u00e9s de collecte, de saisie et de traitement des donn\u00e9es<\/strong> dans les applications, fichiers, etc. utilis\u00e9s. Les \u00ab\u00a0champs de commentaires libres\u00a0\u00bb ou \u00ab\u00a0zones de saisie libre\u00a0\u00bb<\/strong> (de type champs \u00ab commentaires \u00bb, \u00ab observations \u00bb, \u00ab remarques \u00bb, \u00ab autres \u00bb,\u2026) sont donc notamment concern\u00e9s et doivent \u00eatre utilis\u00e9s avec prudence<\/strong> (minimisation et proportionnalit\u00e9 des donn\u00e9es, objectivit\u00e9 des commentaires,\u2026), conform\u00e9ment aux recommandations de la Cnil<\/a> en la mati\u00e8re. Dans cette optique, il est notamment recommand\u00e9 de sensibiliser<\/strong> les utilisateurs en charge de la saisie dans de telles zones aux r\u00e8gles \u00e0 respecter dans ce cadre, d\u2019ins\u00e9rer sur les \u00e9crans de saisie un message d\u2019avertissement <\/strong>\u00e0 l\u2019attention des utilisateurs comportant des recommandations sur ce qu\u2019il est possible ou non d\u2019indiquer dans la zone de commentaires libres et de formaliser et d\u00e9ployer une politique interne de revue et de monitoring des zones de commentaires libres<\/strong> (ex : dictionnaire de mots interdits et blocages associ\u00e9s, v\u00e9rifications r\u00e9guli\u00e8res des zones de saisie libre par requ\u00eates sur des \u00ab mots-cl\u00e9s \u00bb,\u2026).<\/p>\n

En l\u2019esp\u00e8ce, des commentaires injurieux ainsi que des propos relatifs \u00e0 l\u2019\u00e9tat de sant\u00e9 des clients ont \u00e9t\u00e9 constat\u00e9s dans le logiciel de gestion de la client\u00e8le utilis\u00e9 par la soci\u00e9t\u00e9 Futura Internationale et les centres d\u2019appel, ce qui constitue un manquement aux principes pr\u00e9cit\u00e9s. La Cnil rappelle opportun\u00e9ment que le responsable de traitement doit mettre en place un syst\u00e8me contraignant<\/strong> lui permettant de s\u2019assurer que les comportements constat\u00e9s ne sont pas r\u00e9it\u00e9r\u00e9s, soit en emp\u00eachant automatiquement l\u2019enregistrement de certains termes d\u00e8s la saisie, soit en effectuant une revue automatis\u00e9e quotidienne des commentaires enregistr\u00e9s<\/strong>.<\/p>\n

 <\/p>\n

Manquement 3 : l’absence d’encadrement des transferts de donn\u00e9es en dehors de l\u2019Union europ\u00e9enne<\/strong><\/h3>\n

Aux termes des articles 44 et suivants du RGPD, un transfert de donn\u00e9es \u00e0 caract\u00e8re personnel en dehors de l\u2019Union europ\u00e9enne ne peut \u00eatre licitement mis en \u0153uvre que si le transfert a lieu vers un pays consid\u00e9r\u00e9 par la Commission europ\u00e9enne comme assurant un niveau ad\u00e9quat de protection des donn\u00e9es (cf. pays ayant fait l’objet d’une d\u00e9cision d’ad\u00e9quation) ou s\u2019il est encadr\u00e9 de mani\u00e8re \u00e0 ce que le niveau de protection des donn\u00e9es ne soit pas compromis.<\/p>\n

En l\u2019esp\u00e8ce, l\u2019utilisation du logiciel de gestion de la client\u00e8le impliquait un tel transfert des donn\u00e9es des clients vers la C\u00f4te d\u2019Ivoire, le Maroc et la Tunisie <\/strong>(cf. pays de localisation des sous-traitants de la soci\u00e9t\u00e9 contr\u00f4l\u00e9e). En l\u2019absence de d\u00e9cision d\u2019ad\u00e9quation de la Commission europ\u00e9enne concernant ces pays, de tels transferts auraient d\u00fb \u00eatre encadr\u00e9s par des garanties appropri\u00e9es<\/strong>, conform\u00e9ment aux dispositions de l\u2019article 46 du RGPD (par exemple, par la conclusion de clauses contractuelles types adopt\u00e9es par la Commission europ\u00e9enne ou par l\u2019autorit\u00e9 de contr\u00f4le et approuv\u00e9e par la Commission europ\u00e9enne ou encore par la conclusion de clauses contractuelles ad hoc, sous r\u00e9serve de l\u2019autorisation de l\u2019autorit\u00e9 de contr\u00f4le). Or, les transferts mis en \u0153uvre par la soci\u00e9t\u00e9 Futura Internationale vers ses sous-traitants hors Union europ\u00e9enne n\u2019\u00e9taient pas conformes aux exigences pr\u00e9cit\u00e9es<\/strong>, ce dont il r\u00e9sulte un manquement \u00e0 la r\u00e9glementation applicable en la mati\u00e8re.<\/p>\n

 <\/p>\n

Manquement 4 : le non-respect de\u00a0l\u2019obligation de coop\u00e9ration avec la Cnil<\/strong><\/h3>\n

L\u2019article 31 du RGPD pr\u00e9voit que, \u00ab\u00a0le responsable du traitement et le sous-traitant ainsi que, le cas \u00e9ch\u00e9ant, leurs repr\u00e9sentants coop\u00e8rent avec l’autorit\u00e9 de contr\u00f4le, \u00e0 la demande de celle-ci, dans l’ex\u00e9cution de ses missions<\/em>\u00a0\u00bb.<\/p>\n

Par ailleurs, le fait de s\u2019opposer au contr\u00f4le, de refuser de communiquer des renseignement, documents, donn\u00e9es, informations, \u2026 demand\u00e9es par la Cnil et n\u00e9cessaires \u00e0 sa mission ou encore de communiquer des informations non conformes au contenu des enregistrements tel qu’il \u00e9tait au moment o\u00f9 la demande a \u00e9t\u00e9 formul\u00e9e ou qui ne pr\u00e9sentent pas ce contenu sous une forme directement accessible constitue un d\u00e9lit d\u2019entrave<\/strong> au sens de l’article 226-22-2 du Code p\u00e9nal, puni d\u2019un an d\u2019emprisonnement et de 15 000 euros d\u2019amende (amende pouvant \u00eatre port\u00e9e au quintuple, soit 75 000 \u20ac, si la responsabilit\u00e9 p\u00e9nale de la personne morale est retenue). Ce devoir de coop\u00e9ration des personnes interrog\u00e9es dans le cadre d\u2019un contr\u00f4le se manifeste en pratique par l\u2019obligation de r\u00e9pondre aux questions et demandes des agents de la Cnil<\/strong> et l\u2019interdiction de dissimuler des informations<\/strong> demand\u00e9es express\u00e9ment par les agents de la Cnil.<\/p>\n

En l\u2019esp\u00e8ce, \u00e0 la suite du contr\u00f4le, la Cnil a effectu\u00e9 de nombreuses demandes \u00e0 la soci\u00e9t\u00e9 Futura Internationale pour obtenir communication des pi\u00e8ces n\u00e9cessaires \u00e0 l\u2019exercice de sa mission et la soci\u00e9t\u00e9 Futura Internationale n\u2019a communiqu\u00e9 \u00ab\u00a0qu\u2019une tr\u00e8s faible proportion des \u00e9l\u00e9ments demand\u00e9s\u00a0<\/em>\u00bb. Par ailleurs, la Cnil souligne que la r\u00e9ponse \u00e0 la mise en demeure qui avait \u00e9t\u00e9 notifi\u00e9e \u00e0 la soci\u00e9t\u00e9 Futura Internationale \u00e0 la suite du contr\u00f4le n\u2019\u00e9tait pas accompagn\u00e9e des \u00e9l\u00e9ments justificatifs demand\u00e9s par la Cnil. En outre, cette derni\u00e8re rel\u00e8ve qu\u2019elle a syst\u00e9matiquement fait droit aux demandes de prorogation de d\u00e9lais formul\u00e9es par la soci\u00e9t\u00e9 Futura Internationale. Aussi, la Cnil consid\u00e8re que \u00ab\u00a0l\u2019absence de r\u00e9ponse aux demandes formul\u00e9es par les services de la Cnil et \u00e0 la mise en demeure <\/em><\/strong>adress\u00e9e par la pr\u00e9sidente de la Commission, comme l\u2019absence de prise en compte de ces demandes avant la notification d\u2019un rapport de sanction<\/strong>, suffisent \u00e0 d\u00e9montrer, sinon la volont\u00e9 clairement exprim\u00e9e de ne pas donner suite aux sollicitations de la Cnil<\/strong> \u00e0 tout le moins un d\u00e9sint\u00e9r\u00eat flagrant pour ces sujets<\/strong><\/em>\u00a0\u00bb et que la soci\u00e9t\u00e9 Futura Internationale a en cons\u00e9quence manqu\u00e9 \u00e0 son obligation de coop\u00e9ration.<\/p>\n

<\/h3>\n

Des manquements donnant lieu \u00e0 plusieurs sanctions de la Cnil<\/strong><\/h3>\n

En cas de manquements \u00e0 la r\u00e9glementation applicable en mati\u00e8re de protection des donn\u00e9es \u00e0 caract\u00e8re personnel, la Cnil peut prononcer diff\u00e9rentes mesures \u00e0 l\u2019encontre de l\u2019organisme contr\u00f4l\u00e9 dont elle appr\u00e9cie l\u2019opportunit\u00e9 (cf. article 20 de la Loi Informatique et libert\u00e9s<\/a>).<\/p>\n

En l\u2019esp\u00e8ce, la Cnil a prononc\u00e9 les sanctions suivantes \u00e0 l\u2019\u00e9gard de la soci\u00e9t\u00e9 Futura Internationale en raison des manquements pr\u00e9cit\u00e9s\u00a0:<\/p>\n