La prospection commerciale est une pratique courante pour les entreprises souhaitant développer leur activité. Cependant, lorsqu’elle repose sur l’utilisation de données personnelles, elle doit respecter un cadre légal strict, notamment en matière de consentement. C’est dans ce contexte que la CNIL a récemment prononcé une sanction de 900 000 euros à l’encontre de Solocal Marketing Services, une société qui effectue du démarchage en se fondant sur des données obtenues auprès de courtiers en données (aussi appelés data brokers) notamment.
Mon Expert RGPD fait le point sur cette décision !
Les faits
En 2022, la CNIL a identifié la prospection commerciale comme une de ses thématiques prioritaires de contrôle. C’est la raison pour laquelle elle a décidé de contrôler la société Solocal Marketing Services.
Cette société acquiert des données auprès de courtiers en données, éditeurs de sites de jeux-concours et de tests de produits et les utilise afin de démarcher des personnes par SMS ou par courrier électronique. Elle transmet aussi parfois ces données à ses clients afin qu’ils effectuent eux-mêmes les opérations de prospection.
Suite au contrôle effectué, la formation restreinte de la CNIL a prononcé des sanctions à l’encontre de la société pour non-respect du Code des postes et des communications électroniques (CPCE) et du Règlement général de la protection des données (RGPD).
Cet article pourrait aussi vous intéresser : Sanctions CNIL 2024 : les TPE/PME de plus en plus contrôlées.
Les manquements reprochés
Deux manquements principaux sont reprochés à la société Solocal Marketing Services :
Absence de consentement à la prospection
Le consentement des personnes à recevoir de la prospection commerciale n’était pas recueilli de façon libre et univoque selon la CNIL. En effet, les courtiers en données recueillaient le consentement des personnes via des formulaires à l’apparence trompeuse. Ceux-ci mettaient en valeur des boutons permettant l’utilisation des données à des fins de prospection commerciale contrairement aux liens permettant de participer au jeu sans accepter un tel objectif de collectif. Selon la CNIL, cette présentation incitait fortement les utilisateurs à accepter l’utilisation de leurs données dans un but de prospection commerciale.
En tant qu’utilisatrice de ces données collectées par les courtiers, la société devait s’assurer que le consentement des personnes était valide avant de mener ses opérations de prospection.
La CNIL relève que les exigences contractuelles prévues n’étaient pas suffisantes. Il fallait par ailleurs que la société s’assure effectivement que les données récupérées aient été collectées licitement, en consultant les formulaires de recueil de consentement des courtiers notamment.
Absence de preuve de consentement
Solocal n’a pas ailleurs pas pu fournir de preuve de recueil du consentement des personnes par l’un de ses principaux partenaires. La CNIL n’a donc pas pu apprécier la validité du mécanisme de recueil de consentement.
La CNIL rappelle que c’est à Solocal d’apporter la preuve que ses campagnes de prospection sont licites. Pour ce faire, il faut aussi qu’elle soit en mesure d’apporter la preuve du consentement des personnes.
Les sanctions
Face aux manquements relevés, la CNIL a prononcé plusieurs sanctions :
- une amende de 900 000 euros
- la publicité de la décision
- une injonction de cesser d’effectuer des opérations de prospection commerciale par voie électronique sans consentement valable, ainsi qu’une astreinte de 10 000 euros par jour de retard à l’issue d’un délai de 9 mois
Ces différentes mesures illustrent ainsi la variété des leviers dont dispose la CNIL pour faire respecter le cadre légal.
Cet article pourrait aussi vous intéresser : Prospection abusive : perdre son nom de domaine, une nouvelle sanction possible ?
Conclusion
Cette décision de la CNIL constitue un signal fort à destination des entreprises qui réalisent des opérations de prospection commerciale en se fondant sur des données collectées par des partenaires. Elle rappelle que l’utilisation de données personnelles à des fins de prospection commerciale ne peut se faire sans un consentement libre et éclairé. Les entreprises ne peuvent pas se reposer uniquement sur les garanties contractuelles : elles ont l’obligation de vérifier concrètement la licéité de la collecte des données qu’elles utilisent, et cela inclut également les données qu’elles reçoivent de leurs partenaires.
à 
