En clair
Ce que décide cette délibération, en clair
Une société avait reçu une injonction de la CNIL (délibération du 21 novembre 2019) pour se mettre en conformité : empêcher l'enregistrement de commentaires excessifs dans son logiciel, mieux informer les personnes démarchées, garantir l'effectivité du droit d'opposition (possibilité de refuser d'être contacté) et encadrer par des contrats ses relations avec les sous-traitants chargés de la prospection téléphonique. Cette injonction était assortie d'une astreinte (somme à payer par jour de retard) de 500 euros par jour, en cas de non-respect du délai d'un mois. La société a transmis dans les délais des preuves de sa mise en conformité (procès-verbaux d'huissier, courriers aux sous-traitants, devis), complétées en janvier 2020 à la demande de la CNIL. La formation restreinte (organe de la CNIL qui prononce les sanctions) a constaté que l'information donnée aux personnes respectait désormais les articles 12, 13 et 14 du RGPD et que le droit d'opposition était effectif.
À retenir
- La CNIL a constaté que la société s'était mise en conformité dans les délais fixés : pas de sanction financière, puisqu'il a été décidé qu'il n'y avait pas lieu à liquidation de l'astreinte de 500 euros par jour de retard.
- Les manquements initiaux concernaient l'information des personnes démarchées, l'effectivité de leur droit de s'opposer à la prospection, et l'absence d'encadrement contractuel avec les sous-traitants.
- Pour les personnes concernées, cela signifie que leur droit d'opposition à la prospection téléphonique est désormais garanti et que l'information sur l'utilisation de leurs données doit être conforme au RGPD.
- La délibération est rendue publique, mais le nom de la société ne sera plus mentionné à l'expiration d'un délai de deux ans à compter de sa publication.
Résumé rédigé par Loilà à partir de la décision ci-dessous, qui seule fait foi.
Texte intégral
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de Messieurs Alexandre LINDEN, président, et Philippe-Pierre CABOURDIN, vice-président, et de Mesdames Anne DEBET, Christine MAUGÜE et Sylvie LEMMET, membres ;
Vu la convention no 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi no 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;
Vu le décret no 2019-536 du 29 mai 2019 pris pour l'application de la loi
no 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la délibération no 2019-010 du 21 novembre 2019 prononçant une sanction à l’encontre de la société x ;
Vu les éléments transmis par la société X le 20 décembre 2019 et le 15 janvier 2020 ;
Vu les autres pièces du dossier ;
Après en avoir délibéré, a adopté la décision suivante :
I.Faits et procédure
La délibération no 2019-010 du 21 novembre 2019 a enjoint à la société X de prendre les mesures permettant d’empêcher de manière effective que des commentaires excessifs ne soient enregistrés dans le logiciel PROGIBOS, de procéder à l’information des personnes, de mettre en œuvre une procédure permettant d’assurer l’effectivité des droits d’opposition exprimés par les personnes prospectées et d’encadrer les relations entre la société et ses sous-traitants procédant aux campagnes de prospection téléphonique par des actes juridiques répondant aux critères posés par les articles 44 à 49 du Règlement 2016/679.
Cette injonction était assortie d’une astreinte de 500 euros par jour de retard à l’issue d’un délai d’un mois suivant la notification de la délibération, les justificatifs de la mise en conformité devant être adressés à la formation restreinte dans ce délai.
Le 20 décembre 2019, dans le délai fixé par la délibération, la société X a adressé au président de la formation restreinte des éléments en vue de justifier de sa mise en conformité à l’injonction prononcée à son encontre.
Elle a ainsi transmis un procès-verbal d’huissier du 17 décembre 2019, des courriers à destination des onze sous-traitants avec lesquels elle était en relation et un devis de la société La Poste. Ces documents avaient pour objet de justifier du déploiement d’un système automatisé de gestion des oppositions exprimées, de l’arrêt des relations contractuelles avec des centres d’appel et de la mise en place d’un démarchage par courrier postal.
Le 6 janvier 2020, le président de la formation restreinte a fait parvenir à la société X une demande de complément portant, d’une part, sur l’information communiquée aux personnes dont les données n’ont pas été directement collectées par la société et, d’autre part, sur l’effectivité du mécanisme d’opposition.
Le 15 janvier 2020, la société a adressé au président de la formation restreinte de nouveaux éléments en réponse. Elle a notamment produit un procès-verbal du 13 janvier 2020 visant à démontrer l’effectivité du mécanisme d’opposition mis en place.
II.Motifs de la décision
La formation restreinte relève que les procès-verbaux d’huissier de justice du 17 décembre 2019 et du 13 janvier 2020 démontrent que l’information communiquée aux personnes est désormais conforme aux exigences des articles 12, 13 et 14 du Règlement 2016/679.
La formation restreinte retient que les personnes démarchées ont la possibilité de s’opposer de manière satisfaisante à la prospection et qu’un mécanisme automatisé et efficace empêche effectivement toute démarche de prospection ultérieure.
Il ressort des constatations effectuées par l’officier ministériel que le logiciel PROGIBOS ne permet plus de renseigner des commentaires libres.
Enfin, les courriers adressés aux centres d’appels démontrent que la société ne fait plus appel à ces sous-traitants hors de l’Union européenne.
Par conséquent, la formation restreinte considère que la société X a satisfait à l’injonction dans le délai imparti et s’est mise en conformité avec les dispositions des articles 5, 12, 13, 14, 21 et 44 du règlement (UE) no 2016/679 du 27 avril 2016 relatif à la protection des données.
Cette décision sera rendue publique comme l’avait été la délibération no 2019-010 du 21 novembre 2019.
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide :
qu’il n’y a pas lieu à liquidation d’astreinte ;
de rendre publique, sur le site de la CNIL et sur le site de Légifrance, sa délibération, qui n’identifiera plus nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.
Le président
Alexandre LINDEN