Par une décision du 31 janvier 2024, la CNIL a examiné la collecte du consentement de personnes physiques pour l’utilisation de leurs données dans le cadre de démarchage.
Contexte
La société FORIOU mène des campagnes de démarchage téléphonique pour faire la promotion de programmes de fidélité.
Pour ces campagnes, elle achète des données personnelles de prospects auprès de différents courtiers en données et d’éditeurs de sites de jeux-concours.
La CNIL (Commission Nationale Informatique et Libertés) a été amenée à contrôler la conformité au RGPD de ces campagnes, et a notamment vérifié la manière dont les entités qui vendaient les données personnelles à FORIOU avaient pu les obtenir auprès des personnes concernées.
Solution
1/ Une collecte de données personnelles qui ne permettait pas de recueillir valablement le consentement des internautes
La CNIL s’est dans un premier temps attachée à vérifier les formulaires utilisés par les entités qui collectaient les données personnelles.
Ces formulaires invitaient les utilisateurs à renseigner diverses données (Nom et prénom, adresse, téléphone…) avec un intitulé « Remplissez vos coordonnées ci-dessous en cas de gain », et comportaient des mentions en caractères de plus petite taille en bas de formulaire permettant aux utilisateurs d’accéder par lien hypertexte aux règlements de jeu concours, à la politique de confidentialité ainsi qu’à une liste de sponsors.
La CNIL considère toutefois que le bouton « VALIDER » (ou « CONTINUER »), particulièrement mis en valeur pas sa taille et sa couleur, orientait fortement les utilisateurs à accepter cette collecte de leurs données.
En conséquence, l’apparence trompeuse de ces formulaires ne permettait pas aux courtiers et organisateurs de jeu concours de recueillir un consentement libre et univoque de leurs utilisateurs.
A défaut d’un tel consentement, la collecte de données n’avait donc plus aucune base légale.
2/ FORIOU condamnée pour ne pas s’être assuré de la validité du consentement
Si les sociétés vendant les données personnelles ne disposaient donc pas de base légale pour les avoir collectées, la société acheteuse n’en avait dès lors pas plus.
Or, pour la CNIL, il appartenait à la société, en tant qu’utilisatrice des données collectées, de s’assurer que les personnes concernées avaient exprimé un consentement valide.
Or, si la société FORIOU avait contractuellement imposé des exigences vis-à-vis de ceux qui lui vendaient les données personnelles, la CNIL relève qu’elle n’opérait en pratique aucun contrôle sur les données personnelles achetées et qu’une proportion importante de ses fichiers de données n’étaient pas conformes à la règlementation sur les données personnelles.
La société FORIOU est en conséquence condamnée au paiement d’une amende de 310.000 euros, correspondant à environ 1% de son chiffre d’affaires.
Vous souhaitez en savoir plus sur ce sujet, un avocat propriété intellectuelle du cabinet SOLVOXIA se tient à votre disposition.