[Brèves] Prospection commerciale et utilisation de données fournies par des courtiers en données : la CNIL sanctionne une société

► Le 4 avril 2024, la CNIL a sanctionné une société d’une amende de 525 000 euros notamment pour avoir utilisé à des fins de prospection commerciale des données fournies par des courtiers en données, sans s’assurer que les personnes concernées avaient valablement consenti à être démarchées.

HUBSIDE.STORE procède à des campagnes de démarchage par téléphone et par SMS pour promouvoir les produits vendus dans ses boutiques (téléphones portables, ordinateurs, etc.). Les données des prospects démarchés sont achetées auprès de courtiers en données, éditeurs de sites de jeux-concours et de tests de produits.

• Un manquement à l’obligation de recueillir le consentement des personnes à recevoir de la prospection commerciale par voie électronique (CPCE, art. L. 34-5 N° Lexbase : L7352LXL)

Pour réaliser ses campagnes de démarchage par SMS, la société HUBSIDE.STORE achète des données de prospects auprès de plusieurs courtiers en données. La collecte de ces données est effectuée par les courtiers via des formulaires de participation à des jeux-concours ou à des tests de produits en ligne sur différents sites web.

La formation restreinte a considéré que l’apparence trompeuse de ces formulaires ne permet pas de recueillir un consentement libre et univoque, conforme aux exigences du RGPD (Règlement n° 2016/679, du 27 avril 2016 N° Lexbase : L0189K8I), qui permettrait de fonder les opérations de prospection par SMS de la société.

En effet, la mise en valeur des boutons entraînant la transmission de ses données à des fins de prospection commerciale (par leur taille, leur couleur, leur intitulé et leur emplacement), comparée aux liens hypertextes permettant de participer au jeu sans accepter cette transmission (d’une taille nettement inférieure et se confondant avec le corps du texte), pousse fortement les utilisateurs à accepter.

Il appartient à la société, en tant qu’utilisatrice des données recueillies, de s’assurer que les personnes concernées ont exprimé un consentement valide. À cet égard, la formation restreinte a relevé que, même si la société a imposé certaines exigences contractuelles à ses fournisseurs de données en amont, aucun contrôle effectif de ces exigences n’était opéré en aval. La CNIL a ainsi constaté une proportion importante de fichiers de prospects non conformes.

• Un manquement à l’obligation de disposer d’une base légale pour les traitements mis en œuvre (RGPD, art. 6)

S’agissant de la prospection commerciale par appels téléphoniques, la formation restreinte a rappelé que, si celle-ci peut être fondée sur l’intérêt légitime de la société, c’est à la condition que les personnes concernées, au moment de la collecte de leurs données, soient informées qu’elles pourront recevoir des offres de prospection commerciale de la part de cette société.

Or, la CNIL a constaté que les formulaires de jeux-concours à partir desquels les données des prospects étaient collectées, ne mentionnaient pas systématiquement la société HUBSIDE.STORE dans la liste des partenaires susceptibles de démarcher les personnes concernées.

• Un manquement à l’obligation d’information (RGPD, art. 14)

Les contrôles réalisés ont mis en évidence que les personnes démarchées par téléphone ne disposaient pas de toutes les informations nécessaires sur la collecte et l’utilisation de leurs données personnelles.

La formation restreinte a rappelé que cette information était indispensable afin de permettre aux personnes concernées de pouvoir exercer leurs droits, par exemple celui d’accéder à leurs données, de les rectifier ou de s’opposer à des sollicitations ultérieures de manière simple et gratuite.

• Sanction

La CNIL a donc prononcé une amende de 525 000 euros rendue publique. Cette amende a été prise en coopération avec les autorités de contrôle européennes concernées (Belgique, Italie, Espagne, Portugal) dans le cadre du guichet unique.

Le montant de cette amende, qui représente environ 2 % du chiffre d’affaires de la société, a notamment été décidé au regard de la gravité des manquements retenus et de la responsabilité endossée par l’organisme utilisant les données collectées. La formation restreinte a également tenu compte du fait que la société HUBSIDE.STORE avait massivement recours à la prospection commerciale.

© Reproduction interdite, sauf autorisation écrite préalable