[Brèves] CNIL : sanction sur le fondement du «RGPD» d’une société pour non-respect des droits des personnes sollicitées dans le cadre d’opérations commerciales

► La formation restreinte de la CNIL a prononcé une sanction de 500 000 euros à l’encontre d’une société à laquelle il est notamment reproché de ne pas avoir respecté les droits des personnes sollicitées dans le cadre d’opérations commerciales (CNIL, délibération  n° SAN 2019-010, 21 novembre 2019 N° Lexbase : X4631CHY).

Le contexte. La société sanctionnée est spécialisée dans l’isolation thermique des domiciles de particuliers. Dans le cadre de son activité, elle utilise les services de plusieurs centres d’appels principalement situés hors de l’Union européenne et qui effectuent pour elle des campagnes de prospection téléphonique.

La plainte. La CNIL a reçu une plainte d’une personne expliquant être démarchée très régulièrement par cette société, alors qu’elle avait indiqué au téléopérateur ne plus vouloir être appelée et qu’elle avait également exercé son droit d’opposition par courrier. Un contrôle réalisé dans les locaux de l’entreprise a permis de constater que la société avait reçu plusieurs courriers de personnes se plaignant de continuer à être démarchées malgré leur opposition.

Le contrôle. Le contrôle a également permis de constater de nombreux autres manquements. Il est notamment apparu que les fichiers de la société contenaient plusieurs commentaires excessifs concernant des clients, ou relatifs à leur état de santé. Les personnes n’étaient pas non plus correctement informées du traitement de leurs données personnelles, ni même souvent de l’enregistrement de la conversation.

La mise en demeure. En octobre 2018, la Présidente de la CNIL a mis en demeure la société de se mettre en conformité au «RGPD» (Règlement n° 2016/679 du 27 avril 2016 N° Lexbase : L0189K8I), en lui demandant d’adopter les mesures correctives nécessaires. La CNIL n’a pas reçu de réponse satisfaisante à cette mise en demeure et la Présidente de la CNIL a donc décidé d’engager une procédure de sanction.

Les manquements. Sur la base des investigations menées, la formation restreinte a constaté cinq manquements au «RGPD» :
- l’absence de prise en compte du droit d’opposition des personnes (aucune procédure ne permettait de s’assurer efficacement que les personnes s’étant opposées au démarchage téléphonique ne soient plus appelées) ;
- la présence de données non pertinentes (commentaires injurieux ou en lien avec la santé des personnes) dans le fichier client de la société ;
- l’information insuffisante des personnes démarchées sur le traitement de leurs données personnelles et les droits dont elles bénéficient ;
- le défaut de coopération avec la CNIL ;
- l’encadrement insuffisant des transferts de données personnelles vers des prestataires situés hors de l’Union européenne.

La sanction. Compte tenu du nombre des manquements, de leur persistance et de leur gravité, la formation restreinte a prononcé une amende de 500 000 euros contre cette société.

Précisions. Dans son communiqué de presse relatif à cette décision du 26 novembre 2019, la CNIL a précisé qu’en rendant publique sa décision, sa formation restreinte souhaite principalement attirer l’attention sur deux points :
- elle porte une attention particulière au respect des droits des personnes, notamment dans le contexte des pratiques de démarchage téléphonique qui sont une préoccupation du quotidien pour les personnes ;
- le fait de coopérer avec elle est une obligation qui, si elle n’est pas respectée, est sanctionnable.

© Reproduction interdite, sauf autorisation écrite préalable