RGPD et prospection commerciale : la CNIL prononce une amende de 500.000€

La formation restreinte de la CNIL a prononcé une amende de 500.000 € à l’encontre d’une société pour démarchage téléphonique illégal. Ce montant élevé sera notamment justifié par la pluralité des manquements, leurs nature et l’absence de coopération de la société sanctionnée.

Dans sa délibération du 21 novembre 2019, la formation restreinte de la CNIL a prononcé une amende de 500.000 € à l’encontre de la société FUTURA INTERNATIONALE (ci-après la « Société) compte tenu notamment de ses manquements relatifs aux droits des personnes et son absence de coopération avec la CNIL.

Pour rappel, le Règlement Général sur la Protection des Données, dit « RGPD », est entré en vigueur le 25 mai 2018 a modifié la loi relative à l’informatique, aux fichiers et aux libertés du 6 janvier 1978. Ce texte européen vise à harmoniser l’encadrement du traitement des données personnelles sur tout le territoire de l’Union Européenne.

Le RGPD impose le respect d’un certain nombre de principes, renforce les droits des personnes et édicte un panel de sanctions pouvant être prononcées par la CNIL en cas de violation de ses dispositions.

En l’espèce, la société FUTURA INTERNATIONAL est spécialisée dans l’isolation thermique des domiciles de particuliers. Dans le cadre de son activité, elle utilise les services de plusieurs centres d’appels principalement situés hors de l’Union Européenne et qui effectuent pour elle des campagnes de prospection téléphonique.

Le 6 février 2018, un particulier a saisi la CNIL d’une plainte faisant état de démarchage téléphonique régulier de la part de la Société et ce malgré une opposition exprimée oralement auprès des opérateurs téléphoniques et par courrier au siège de la société.

Le 20 mars 2018 les agents de la CNIL ont procédé à une mission de contrôle dans les locaux de la Société avec pour mission de vérifier la conformité de tous les traitements en lien avec la prospection commerciale mis en œuvre par ou pour le compte de la société aux dispositions en vigueur.

A l’occasion de ce contrôle, les agents de la CNIL ont pu constater de nombreux manquements de la Société aux dispositions du RGPD.

En octobre 2018, la présidente de la CNIL a mis en demeure la Société, dans le délai de 2 mois de se mettre en conformité au règlement. Du fait de l’absence de mise en conformité de la société, la présidente de la CNIL à décider d’engager une procédure de sanction.

Sur la base du contrôle opéré par les agents de la CNIL, la formation restreinte (chargée de prononcer les sanctions), a constaté les 5 manquements suivants :

1) Manquement à l’obligation de traiter des données adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (article 5-1 c) RGPD). Lors de leur contrôle les agents de la CNIL relèveront que des commentaires injurieux ou en lien avec la santé des personnes étaient inscrit dans le fichier client de la société. La CNIL précise qu’il incombe au responsable de traitement de mettre en place un « système contraignant lui permettant de s’assurer que les comportements constatés ne sont pas réitérés, soit en empêchant automatiquement l’enregistrement de certains termes dès la saisie, soit en effectuant une revue automatisé quotidienne des commentaires enregistrés ». Une simple mention d’information à destination des utilisateurs dans le logiciel ne saurait suffire en l’espèce à assurer le respect des dispositions de l’article précité.

2) Manquement à l’obligation de procéder à l’information des personnes (article 12, 13 et 14 du RGPD). Lors de leur contrôle les agents de la CNIL constateront que les personnes qui font l’objet de prospection n’ont soit aucune information relative à l’enregistrement de l’appel, soit ne sont pas suffisamment informées quant au traitement de leurs données à caractère personnel, notamment concernant la finalité du traitement, l’identité du responsable de traitement ou les droits dont elles disposent.

3) Manquement à l’obligation de respecter le droit d’opposition (article 21 RGPD). Lors de leur contrôle les agents de la CNIL noteront que la Société n’avait mis en place aucune procédure permettant de s’assurer efficacement que les personnes s’étant opposées au démarchage téléphonique ne soient plus appelées.

4) Manquement à l’obligation de coopérer avec l’autorité de contrôle (article 31 RGPD). La formation restreinte note une absence de réponse ou des réponses très partielles de la part de la Société tout au long de la procédure, et ce alors que la CNIL a systématiquement fait droit aux demandes de prorogation de la Société.

5) Manquement à l’obligation d’encadrer les transferts de données à caractère personnel hors de l’UE (article 44, 45 et 46 RGPD). Lors de leur contrôle les agents de la CNIL remarqueront que la prospection commerciale téléphonique était réalisée par des centres d’appels situés pour la plupart en Afrique du Nord. Il appartient alors au responsable de traitement de mettre en place des garanties appropriées par notamment l’insertion de clauses types de protection des données adoptées par la Commission européenne ou l’autorité de contrôle.

Compte tenu de la pluralité de ces manquements, leur nature, leur persistance et leur gravité, mais également de « l’absence de coopération parfaitement caractérisée » de la part de la Société, la formation restreinte de la CNIL a prononcé une amende de 500.000 €.

Elle a également prononcé la publication de la décision au regard « de l’importance de la problématique de la prospection commerciale » mais également pour attirer l’attention des responsables de traitement sur le fait que la coopération avec la CNIL est une obligation qui, si elle n’est pas respectée est sanctionnable.

Délibération CNIL n°SAN-2019-010 du 21 novembre 2019