Courtiers en données : sanction de 900 000 euros à l’encontre de la société SOLOCAL MARKETING SERVICES

Le contexte

Dans le cadre de sa thématique prioritaire de contrôle sur la prospection commerciale en 2022, la CNIL s’est intéressée aux pratiques des professionnels du secteur, en particulier de ceux qui procèdent à la revente de données, y compris des nombreux intermédiaires de cet écosystème appelés courtiers en données ou data brokers en anglais.

À cette occasion, la CNIL a contrôlé la société SOLOCAL MARKETING SERVICES, qui acquiert des données de prospects principalement auprès de courtiers en données, éditeurs de sites de jeux-concours et de tests de produits (ces acteurs sont les premiers maillons de la chaîne, les primo-collectants, qui sont à l’origine de la collecte des données des prospects).

La société SOLOCAL MARKETING SERVICES utilise ces données pour démarcher les personnes concernées par SMS ou par courrier électronique, pour le compte de ses clients annonceurs. Elle peut également transmettre certaines de ces données à ses clients, afin qu’ils réalisent eux-mêmes de la prospection par téléphone ou par voie postale.

Sur la base des constatations effectuées lors du contrôle, la formation restreinte –  organe de la CNIL chargé de prononcer les sanctions – a considéré que la société avait manqué aux obligations prévues par le Code des postes et des communications électroniques (CPCE) et par le règlement général sur la protection des données (RGPD) en matière de recueil et de preuve du consentement.

Elle a prononcé à l’encontre de la société SOLOCAL MARKETING SERVICES :

• une amende de 900 000 euros, rendue publique ; et
• une injonction de cesser de procéder à des opérations de prospection commerciale par voie électronique en l’absence d’un consentement valable, assortie d'une astreinte de 10 000 euros par jour de retard à l'issue d'un délai de 9 mois.

Le montant de cette amende tient notamment compte du nombre très élevé de personnes concernées (plusieurs millions), de la position historique de la société sur le marché, de l’avantage financier tiré des manquements mais également des mesures prises par la société, depuis les contrôles réalisés, pour se mettre en conformité avec certaines de ses obligations.

Les manquements sanctionnés

Un manquement à l’obligation de recueillir le consentement des personnes à recevoir de la prospection commerciale par voie électronique (article L.34-5 du CPCE)

La société SOLOCAL MARKETING SERVICES propose à ses clients (notamment des entreprises) de réaliser, pour leur compte, des campagnes de démarchage par SMS ou par courrier électronique. Pour procéder à ces campagnes, la société achète des données de prospects auprès de plusieurs courtiers en données, qui procèdent à leur collecte via des formulaires de participation à des jeux-concours ou à des tests de produits en ligne sur différents sites web.

La formation restreinte considère que l’apparence trompeuse des formulaires mis en œuvre par les courtiers en données ne permet pas de recueillir un consentement libre et univoque, conforme aux exigences du RGPD, qui permettrait de fonder les opérations de prospection réalisées par la société SOLOCAL MARKETING SERVICES.

Illustrations de formulaires non conformes utilisés par les courtiers en données (à titre d’exemples)

En effet, la mise en valeur des boutons entraînant l’utilisation de ses données à des fins de prospection commerciale (par leur taille, leur couleur, leur intitulé et leur emplacement), comparée aux liens hypertextes permettant de participer au jeu sans accepter cette utilisation (d’une taille nettement inférieure et se confondant avec le corps du texte) pousse fortement l’utilisateur à accepter.

SOLOCAL MARKETING SERVICES est utilisatrice des données recueillies par les courtiers. En conséquence, elle doit s’assurer que les personnes ont exprimé un consentement valide avant de mener ses campagnes de prospection.

Les exigences contractuelles que la société imposait à ses fournisseurs, en amont, ainsi que les vérifications qu’elle affirmait avoir effectuées, en aval, étaient manifestement insuffisantes. En tout état de cause, elle n’en avait pas tiré les conséquences qui s’imposaient, dans la mesure où les formulaires examinés par la CNIL ne permettait pas de recueillir un consentement valide.

Un manquement à l’obligation d’être en mesure de démontrer que la personne concernée a donné son consentement (article 7 du RGPD)

La société n’a pas été en mesure de fournir à la CNIL la preuve du consentement des personnes dont les données lui ont été transmises par l’un de ses principaux fournisseurs. La CNIL n’a ainsi pas pu examiner les formulaires de collecte mis en œuvre par ce fournisseur et, donc, la validité du consentement des personnes concernées.

Il appartient bien à la société, en sa qualité de responsable de traitement, d’apporter la preuve que ses opérations de prospection réalisées sont licites (notamment la preuve du consentement).

En outre, après avoir constaté que son partenaire n’était pas en capacité de lui fournir cette preuve, la société a attendu près de 17 mois pour cesser d’utiliser les données transmises.