CNIL, délibération n° SAN 2019-010, 21 novembre 2019
Le 21 novembre 2019, la formation restreinte de la CNIL a prononcé une sanction de 500 000 euros à l’encontre d’une société de service spécialisée dans l’isolation thermique des domiciles de particuliers.
En l’espèce, cette société utilise dans le cadre de son activité les services de plusieurs centres d’appels situés hors de l’Union européenne pour effectuer des campagnes de prospection téléphonique.
Le 20 mars 2018, la CNIL a engagé une procédure de contrôle sur place suite à la plainte d’un particulier faisant état de démarchages téléphoniques persistants de la part de cette société.
Selon la plaignante, malgré son opposition à la prospection exprimée oralement auprès des opérateurs téléphoniques et par courrier adressé au siège de la société, les appels n’avaient toujours pas cessé plusieurs mois après ces démarches.
En septembre 2018, sur avis du rapporteur, la présidente de la CNIL a mis en demeure la société de se mettre en conformité au RGPD en respectant les droits des personnes au refus d’utiliser leurs données à des fins de démarchage.
En raison de l’absence de mise en conformité dans le délai supplémentaire de deux mois octroyé par la CNIL, celle-ci a ouvert une procédure de sanction à l’encontre de ladite société.
Le contrôle sur place avait permis à la CNIL de constater plusieurs manquements.
Tout d’abord, la CNIL constate l’absence de prise en compte du droit d’opposition des personnes (article 21 du RGPD). En l’espèce, la CNIL relève que la société n’a pas mise en place de procédure pour que les personnes ayant exprimé leur opposition au démarchage téléphonique ne soient plus contactées.
Ensuite, la CNIL relève la présence de données non pertinentes (selon l’article 5-1 c) du RGPD) dans les fichiers de la société parmi lesquelles des commentaires injurieux concernant des clients ou relatifs à leur état de santé. En l’espèce, le logiciel de gestion de la clientèle permettait aux téléopérateurs d’enregistrer ces commentaires à destination des salariés de la société.
Également, la CNIL relève un manquement à l’obligation d’informer les personnes démarchées du traitement de leurs données personnelles (articles 12, 13 et 14 du RGPD). En l’espèce, les personnes faisant l’objet de prospection téléphonique n’étaient soit destinataires d’aucune information relative à l’enregistrement de l’appel, soit simplement informées de l’enregistrement de la conversation sans qu’aucune autre information ne leur soit communiquée sur le traitement de leurs données.
En outre, la CNIL a considéré que l’encadrement des transferts de données personnelles vers les prestataires hors de l’Union européenne était insuffisant (article 44 du RGPD).
Enfin, et de façon inédite, la CNIL sanctionne le défaut de coopération de la société sur le fondement de l’article 31 du RGPD. Sur ce point, la délibération fait état de « la volonté clairement exprimée de ne pas donner suite aux sollicitations de la CNIL, à tout le moins un désintérêt flagrant pour ces sujets ».
En l’espèce, les nombreuses demandes de la CNIL pour obtenir communication des pièces nécessaires étaient restées sans réponse.
Comme indiqué dans son communiqué du 26 novembre 2019, la publicité de cette sanction permet à la CNIL d’attirer l’attention sur le fait que, non seulement le démarchage téléphonique est soumis aux dispositions du RGPD, mais également que le manquement à l’obligation de coopérer avec cette autorité est susceptible de sanctions.
Julien GOMIS
