Le 12 octobre 2023, la CNIL a prononcé une sanction de 600 000 euros à l’encontre du GROUPE CANAL+, une société éditrice de chaînes et distributrice d’offres de télévision payante. Cette sanction fait suite à des plaintes reçues par la CNIL liées à la prospection commerciale et aux droits des individus. 

Découvrez dans cet article les violations découvertes par l’autorité de contrôle.

Contexte 

Le 12 octobre 2023, la Commission nationale de l’informatique et des libertés (CNIL) a décidé d’imposer une amende de 600 000 euros au groupe français en raison de ses manquements au RGPD, en matière de prospection commerciale et de respect des droits des individus notamment. Cette décision découle de plusieurs plaintes déposées par des personnes à la suite de difficultés quant à l’exercice de leurs droits liée à de la prospection commerciale.

Et spoiler ⚠️: ces plaintes ont permis à la CNIL de découvrir de nombreuses violations. 

Saviez-vous que la CNIL traite 100% des plaintes qui lui sont adressées ? Découvrez notre article sur le sujet : Plaintes CNIL : 100% des plaintes sont traitées ! Comprendre l’impact des vérifications systématiques

La CNIL, à la suite de contrôles approfondis, a estimé que le GROUPE CANAL+ avait enfreint plusieurs dispositions de la réglementation en vigueur sur la protection des données. La sanction est le résultat de ce constat, et a été rendue publique, affectant ainsi la réputation de Canal+ qui, désormais, doit restaurer la confiance de ses abonnés et de rétablir son image dans le respect des normes du RGPD.

Les manquements sanctionnés

L’absence de recueil du consentement

Le GROUPE CANAL+ réalise des campagnes de prospection commerciale par voie électronique. Cependant, lors des contrôles effectués par la CNIL, la société n’a pas pu démontrer qu’elle avait obtenu un consentement valide et préalable des personnes recevant la prospection. 

Lors des vérifications effectuées, l’entreprise a présenté à la CNIL deux exemples de formulaires types utilisés pour recueillir des données de prospects, fournis par ses partenaires commerciaux. Ces formulaires ne contiennent pas d’informations concernant l’identité des tiers auxquels les données seront transmises, ce qui constitue une violation du RGPD. En effet, il est essentiel que la liste des destinataires soit clairement accessible aux individus au moment où leur consentement est sollicité, afin de garantir un consentement éclairé et valable.

De plus, les mesures mises en place par Canal + et ses fournisseurs de données pour garantir et vérifier la validité du consentement ont été jugées insuffisantes par la CNIL. En effet, le consentement pour être valide doit être éclairé, libre, spécifique et univoque. Canal + n’a pas su fournir les garanties suffisantes attestant de la vérification de ces conditions.

De nombreux manquements relevés 

La CNIL a également relevé plusieurs manquements liés à l’obligation d’information et au respect des droits des individus. Ces manquements comprennent :

• Une politique de confidentialité imprécise lors de la création d’un compte MyCanal, enfreignant l’article 13 du RGPD.
• L’absence de fourniture systématique d’informations nécessaires (tels que le possible enregistrement de l’appel et la possibilité d’exercer ses droits) lors des appels de démarchage téléphonique.

• Un contrat de sous–traitance qui ne respectait pas toutes les mentions requises par le RGPD, en vertu de l’article 28.

• Le non-respect des délais de réponse aux plaintes des individus, contrairement à l’article 12 du RGPD.
• Le non-respect du droit d’accès aux données, tel que stipulé dans l’article 15 du RGPD.

• Le stockage peu sécurisé des mots de passe des employés, violant l’article 32 du RGPD.

• L’absence de notification à la CNIL d’une violation de données, en contravention de l’article 33 du RGPD.

Certaines de ces violations sont des erreurs fréquentes chez les TPE/PME. Découvrez notre Top 10 des erreurs les plus fréquentes en entreprise concernant la protection des données.

La décision de la CNIL d’infliger une amende de 600 000 euros au GROUPE CANAL+ en 2023 met en évidence l’importance du respect des règlements relatifs à la protection des données. Les manquements sanctionnés couvrent un large éventail d’aspects liés à la prospection commerciale, à l’obligation d’information, au respect des droits des individus, et à la sécurité. Il s’agit d’un rappel clair que toute organisation traitant des données personnelles doit se conformer aux exigences légales, et que tout peut partir d’une simple plainte, d’où l’urgence de rapidement organiser sa conformité et ne pas attendre l’action des autorités de contrôle.