CNILTEXT000041537429
CNIL texte/cnil/CNIL/TEXT/00/00/41/53/74/CNILTEXT000041537429.xml DELIBERATION
Délibération SAN-2020-001 du 30 janvier 2020 Délibération de la formation restreinte no SAN-2020-001 du 30 janvier 2020 relative à l’injonction prononcée à l’encontre de la société X par la délibération no 2019-010 du 21 novembre 2019 SAN-2020-001
Sanction 2020-01-30
2020-02-07 VIGUEUR
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de Messieurs Alexandre LINDEN, président, et Philippe-Pierre CABOURDIN, vice-président, et de Mesdames Anne DEBET, Christine MAUGÜE et Sylvie LEMMET, membres ;
Vu la convention no 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi no 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;
Vu le décret no 2019-536 du 29 mai 2019 pris pour l'application de la loi no 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la délibération no 2019-010 du 21 novembre 2019 prononçant une sanction à l’encontre de la société x ;
Vu les éléments transmis par la société X le 20 décembre 2019 et le 15 janvier 2020 ;
Vu les autres pièces du dossier ;
Après en avoir délibéré, a adopté la décision suivante :
I.Faits et procédure
La délibération no 2019-010 du 21 novembre 2019 a enjoint à la société X de prendre les mesures permettant d’empêcher de manière effective que des commentaires excessifs ne soient enregistrés dans le logiciel PROGIBOS, de procéder à l’information des personnes, de mettre en œuvre une procédure permettant d’assurer l’effectivité des droits d’opposition exprimés par les personnes prospectées et d’encadrer les relations entre la société et ses sous-traitants procédant aux campagnes de prospection téléphonique par des actes juridiques répondant aux critères posés par les articles 44 à 49 du Règlement 2016/679.
Cette injonction était assortie d’une astreinte de 500 euros par jour de retard à l’issue d’un délai d’un mois suivant la notification de la délibération, les justificatifs de la mise en conformité devant être adressés à la formation restreinte dans ce délai.
Le 20 décembre 2019, dans le délai fixé par la délibération, la société X a adressé au président de la formation restreinte des éléments en vue de justifier de sa mise en conformité à l’injonction prononcée à son encontre.
Elle a ainsi transmis un procès-verbal d’huissier du 17 décembre 2019, des courriers à destination des onze sous-traitants avec lesquels elle était en relation et un devis de la société La Poste. Ces documents avaient pour objet de justifier du déploiement d’un système automatisé de gestion des oppositions exprimées, de l’arrêt des relations contractuelles avec des centres d’appel et de la mise en place d’un démarchage par courrier postal.
Le 6 janvier 2020, le président de la formation restreinte a fait parvenir à la société X une demande de complément portant, d’une part, sur l’information communiquée aux personnes dont les données n’ont pas été directement collectées par la société et, d’autre part, sur l’effectivité du mécanisme d’opposition.
Le 15 janvier 2020, la société a adressé au président de la formation restreinte de nouveaux éléments en réponse. Elle a notamment produit un procès-verbal du 13 janvier 2020 visant à démontrer l’effectivité du mécanisme d’opposition mis en place.
II.Motifs de la décision
La formation restreinte relève que les procès-verbaux d’huissier de justice du 17 décembre 2019 et du 13 janvier 2020 démontrent que l’information communiquée aux personnes est désormais conforme aux exigences des articles 12, 13 et 14 du Règlement 2016/679.
La formation restreinte retient que les personnes démarchées ont la possibilité de s’opposer de manière satisfaisante à la prospection et qu’un mécanisme automatisé et efficace empêche effectivement toute démarche de prospection ultérieure.
Il ressort des constatations effectuées par l’officier ministériel que le logiciel PROGIBOS ne permet plus de renseigner des commentaires libres.
Enfin, les courriers adressés aux centres d’appels démontrent que la société ne fait plus appel à ces sous-traitants hors de l’Union européenne.
Par conséquent, la formation restreinte considère que la société X a satisfait à l’injonction dans le délai imparti et s’est mise en conformité avec les dispositions des articles 5, 12, 13, 14, 21 et 44 du règlement (UE) no 2016/679 du 27 avril 2016 relatif à la protection des données.
Cette décision sera rendue publique comme l’avait été la délibération no 2019-010 du 21 novembre 2019.
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide :
qu’il n’y a pas lieu à liquidation d’astreinte ;
de rendre publique, sur le site de la CNIL et sur le site de Légifrance, sa délibération, qui n’identifiera plus nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.
Le président
Alexandre LINDEN