Clôture de l’injonction prononcée à l’encontre de la société SOLOCAL MARKETING SERVICES

Le contexte

En mai 2025, la formation restreinte – organe de la CNIL chargé des sanctions – avait prononcé à l’encontre de la société SOLOCAL MARKETING SERVICES une amende de 900 000 euros pour avoir manqué aux obligations prévues par le code des postes et des communications électroniques (CPCE) et par le règlement général sur la protection des données (RGPD) en matière de recueil et de preuve du consentement des personnes visées par ses opérations de prospection commerciale.

Pour rappel, la société acquiert des données de prospects auprès de courtiers en données, éditeurs de sites de jeux-concours et de tests de produits (« primo-collectants », à l’origine de la collecte des données des prospects), et les utilise pour démarcher les personnes concernées par SMS ou par courrier électronique, pour le compte de ses clients annonceurs.

La formation restreinte a considéré que l’apparence trompeuse des formulaires de collecte mis en œuvre par les courtiers en données ne permettait pas de recueillir un consentement libre et univoque des utilisateurs, conforme aux exigences du RGPD, qui aurait permis de fonder les opérations de prospection réalisées par la société SOLOCAL MARKETING SERVICES.

Elle a dès lors, en plus de l’amende, prononcé une injonction de cesser de procéder à des opérations de prospection commerciale par voie électronique en l’absence d’un consentement valable des personnes concernées, dans un délai de neuf mois.

Le non-respect de cette injonction exposait la société au paiement d’une astreinte (c’est-à-dire d’une amende supplémentaire) de 10 000 euros par jour de retard.

La clôture de l’injonction

En réponse à cette injonction, la société a, dans les délais impartis, justifié avoir mis en place des mesures lui permettant de vérifier la validité du consentement recueilli, pour son compte, par ses partenaires primo-collectants. Ces mesures, fondées sur une analyse automatisée des formulaires de collecte des données, et complétées par une appréciation humaine, ont été considérées satisfaisantes par la formation restreinte. En effet, si ces mesures sont scrupuleusement appliquées, elles permettent à la société de s’assurer que le consentement des personnes concernées est valablement recueilli.

Dans ces conditions, la formation restreinte a décidé de ne pas liquider l’astreinte (c’est-à-dire de ne pas exiger le paiement de l’amende supplémentaire évoquée ci-dessus) et de clôturer l’injonction.

Elle a néanmoins rappelé que, même si ces mesures existent, la société reste responsable de la validité des consentements recueillis, pour son compte, par ses partenaires. Ainsi, même si des mécanismes de contrôle sont bien mis en œuvre, la responsabilité de la société pourrait tout de même être recherchée en cas de non-conformités liées à des formulaires non valides qui auraient échappé à son contrôle.