Prospection commerciale : sanction de 525 000 euros à l’encontre de la société HUBSIDE.STORE

Le 4 avril 2024, la CNIL a sanctionné la société HUBSIDE.STORE d’une amende de 525 000 euros, notamment pour avoir utilisé des données fournies par des courtiers en données à des fins de prospection commerciale, sans s’assurer que les personnes concernées avaient valablement consenti à être démarchées.

Le contexte

HUBSIDE.STORE réalise des campagnes de démarchage par téléphone et SMS pour promouvoir les produits vendus dans ses magasins (téléphones portables, ordinateurs, etc.). Les données des prospects froids sont achetées auprès de data brokers, d’éditeurs de sites de compétition et de tests de produits.

Sur la base des constatations faites lors des inspections, le formation restreinte – l’organe de la CNIL chargé de prononcer les sanctions – a estimé que l’apparence trompeuse des formulaires de collecte mis en œuvre par les courtiers à l’origine de la collecte ne permettait pas d’obtenir un consentement valable des personnes concernées. La société HUBSIDE.STORE ne pourrait donc légalement réaliser ses opérations de prospection par SMS (violation des dispositions de l’article L. 34-5 du code des postes et des communications électroniques ou CPCE) et par téléphone (violation des dispositions de l’article 6 du code des communications électroniques ou CPCE). le Règlement Général sur la Protection des Données ou RGPD).

Par ailleurs, la formation restreinte a estimé que, lors de ses opérations de démarchage téléphonique, l’entreprise ne permettait pas aux personnes d’être suffisamment informées, en violation de l’article 14 du RGPD.

Elle lui a infligé une amende de 525 000 euros, rendue publique. Cette amende a été prise en coopération avec les autorités de contrôle européennes compétentes (Belgique, Italie, Espagne, Portugal) dans le cadre du guichet unique HUBSIDE STORE traitant les données des clients et prospects de plusieurs États membres de l’Union européenne.

Le montant de cette amende, qui représente environ 2% du chiffre d’affaires de l’entreprise, a été décidé notamment au regard de la gravité des manquements constatés et de la responsabilité assumée par l’organisme utilisateur des données collectées. La formation restreinte tenait également compte du fait que la société HUBSIDE.STORE faisait un large recours à la prospection commerciale.

Les manquements sanctionnés

Un manquement à l’obligation de recueillir le consentement des personnes pour recevoir de la prospection commerciale par voie électronique (article L.34-5 du CPCE)

Pour réaliser ses campagnes de démarchage SMS, la société HUBSIDE.STORE achète des données prospects auprès de plusieurs data brokers. La collecte de ces données est effectuée par les courtiers via des formulaires de participation à des concours ou des tests de produits en ligne sur différents sites Internet.

La formation restreinte considère que l’aspect trompeur de ces formulaires ne permet pas de obtenir un consentement libre et sans ambiguïtéconforme aux exigences du RGPD, qui servirait de base aux opérations de prospection par SMS de l’entreprise.

Exemples de formulaires :

Visualiser au format PDF

En fait, le mise en surbrillance des boutons entraînant la transmission de ses données à des fins de prospection commerciale (par leur taille, leur couleur, leur titre et leur localisation), par rapport aux liens hypertextes permettant de participer au jeu sans accepter cette transmission (de taille nettement inférieure et fusionnant avec l’un l’autre). avec le corps du texte) encourage fortement les utilisateurs à l’accepter.

Il appartient à l’entreprise, en tant qu’utilisateur des données collectées, de s’assurer que les personnes concernées ont exprimé un consentement valable. A cet égard, la formation restreinte a relevé que, même si l’entreprise imposait certaines exigences contractuelles à ses fournisseurs de données en amont, aucun contrôle efficace de ces exigences n’était effectué en aval. La CNIL a ainsi constaté une part importante de dossiers prospects non conformes.

Un manquement à l’obligation d’avoir un base légale pour les traitements mis en œuvre (article 6 du RGPD)

S’agissant de la prospection commerciale par téléphone, la formation restreinte a rappelé que, si celle-ci peut se fonder sur l’intérêt légitime de l’entreprise, c’est à condition que les personnes concernées, au moment de la collecte de leurs données, soient informées que ils pourront recevoir des offres de prospection commerciale de cette société.

La CNIL a toutefois constaté que les formulaires de concours à partir desquels étaient collectées les données des prospects ne mentionnaient pas systématiquement la société HUBSIDE.STORE dans la liste des partenaires susceptibles de démarcher les personnes concernées.

Un manquement à l’obligation d’information (article 14 du RGPD)

Les contrôles effectués ont révélé que les personnes contactées par téléphone ne disposaient pas de toutes les informations nécessaires sur la collecte et l’utilisation de leurs données personnelles (par exemple, l’identité et les coordonnées de l’organisation, les objectifs d’utilisation des données, les durées de conservation, la source des données, leurs droits ou encore leur possibilité d’introduire une réclamation auprès de la CNIL).

La formation restreinte a rappelé que ces informations étaient indispensables afin de permettre aux personnes concernées de pouvoir exercer leurs droits, par exemple celui d’accéder à leurs données, de les rectifier ou de s’opposer aux demandes ultérieures de manière simple et libre.