Expertises des Systèmes d'information - Janvier 2020 - N°453 - Le mensuel du droit de l'informatique et du multimédia - 37

Sur le manquement à
l'obligation d'information
Pour mémoire, l'article 12 du
RGPD dispose  : «  Le responsable
du traitement prend des mesures
appropriées pour fournir toute
information visée aux articles
13 et 14 [...] en ce qui concerne le
traitement à la personne concernée d'une façon concise, transparente, compréhensible et aisément
accessible, en des termes clairs et
simples, en particulier pour toute
information destinée spécifiquement à un enfant. Les informations sont fournies par écrit ou
par d'autres moyens y compris,
lorsque c'est approprié, par voie
électronique. Lorsque la personne
concernée en fait la demande, les
informations peuvent être fournies
oralement, à condition que l'identité de la personne concernée soit
démontrée par d'autres moyens. »
L'article 13 précise, quant à lui,
que les mentions d'information
à porter à la connaissance de la
personne auprès de laquelle les
données sont collectées directement, doivent l'être au plus tard
au moment de la collecte de ses
données.
L'article 14, pour sa part, précise
que, lorsque les données à caractère
personnel n'ont pas été collectées
auprès de la personne concernée, il
appartient au responsable de traitement de porter à sa connaissance
l'ensemble des mentions obligatoires « au plus tard au moment de
la première communication à ladite
personne ».
L'instruction,
menée
par
la
délégation de la Cnil, a permis
de se convaincre, tel que cela
ressortait des enregistrements des
conversations entre opérateurs et
prospects, que les personnes objets
du démarchage n'étaient pas été
informées de l'enregistrement de
l'appel. Et dans l'hypothèse où elles
étaient avisées de l'enregistrement
de l'appel, aucune autre information ne leur était délivrée quant au
traitement de données à caractère

personnel les concernant, telle que
la finalité, l'identité du responsable
de traitement ou encore les droits
dont elles disposaient. Cela était
également vrai pour les personnes
dont les données avaient été collectées indirectement par le biais d'une
opération de parrainage.
Un délai avait pourtant été imparti
à la société Futura Internationale,
dans la mise en demeure du
27 septembre 2018, pour se mettre
en conformité avec les dispositions
précitées du RGPD, quant à l'information à délivrer aux personnes
démarchées.Toutefois, il est patent
qu'à l'issue de ce délai, la société
n'a pas cru devoir justifier de la
mise en place d'un mécanisme
d'information à destination des
personnes concernées. De même,
au cours de la procédure contradictoire à l'occasion de laquelle elle
était pourtant assistée d'un conseil,
la société Futura Internationale s'est
contentée d'affirmer que désormais
elle était en conformité et délivrait
une information complète.
La Cnil n'a pu que constater
qu'aucune pièce n'était versée
afin de prouver ses affirmations,
lesquelles auraient pu être aisément
démontrées par la production du
modèle de courriel envoyé, ou du
message adressé par téléphone aux
interlocuteurs en ce sens.
En l'absence de preuve rapportée
par la société Futura Internationale
quant à l'existence de cette
procédure, la Cnil a considéré que
le manquement était constitué.
En outre, il a été observé que la
société Futura Internationale a
indiqué adresser un courriel aux
personnes dont les données étaient
collectées
directement
auprès
d'elles, et ce, postérieurement
à l'échange téléphonique. Or, à
nouveau, la formation restreinte
a pu se convaincre d'un nouveau
manquement aux dispositions de
l'article 13 du RGPD qui imposent
que l'information soit délivrée au
plus tard au moment de la collecte
de données à caractère personnel.
En conséquence, la Cnil rappelle
EXPERTISES Janvier 2020

qu'une
information
délivrée
postérieurement à la collecte directe
de données à caractère personnel
constitue une non-conformité.
Tant sur la forme, que sur le fond,
la société Futura Internationale
a donc manqué aux obligations
qui pèsent sur elle en tant que
responsable de traitement quant
à la délivrance d'une information
concise, transparente, compréhensible et aisément accessible auprès
des personnes concernées. La Cnil
n'a pu que constater que la société
avait commis des manquements
caractérisés aux obligations nées
des articles 12, 13 et 14 du RGPD,
et ce,postérieurement à l'entrée en
application du RGPD puisque les
non-conformités ont perduré.

Sur le manquement à
l'obligation de respecter le
droit d'opposition
L'article 21 paragraphe 2 du RGPD
dispose s'agissant du droit d'opposition  : «  Lorsque les données à
caractère personnel sont traitées
à des fins de prospection, la
personne concernée a le droit
de s'opposer à tout moment au
traitement des données à caractère
personnel la concernant à de telles
fins de prospection, y compris au
profilage dans la mesure où il est
lié à une telle prospection. »
Cet article rappelle que le droit
d'opposition de la personne
concernée en matière de prospection est purement discrétionnaire,
droit déjà fixé à l'ancien article 38
de la Loi n°78-17, avant l'entrée
en application du RGPD. Ainsi,
la personne n'a pas à justifier des
raisons pour lesquelles elle ne
souhaite plus recevoir d'appels ou
mails à des fins de prospection.
Cette règle a vocation à s'appliquer
quel que soit le média de prospection utilisé.
En outre, il ressort des dispositions de l'article 12 du RGPD que
l'exercice des droits des personnes
concernées doit être facilité par
le responsable de traitement.

37
Expertises des Systèmes d'information - Janvier 2020 - N°453 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Janvier 2020 - N°453 - Le mensuel du droit de l'informatique et du multimédia
