Pratiques interdites en matière de traitement de données à caractère personnel dans le cadre de la constitution d’une base de données et sa location à des tiers à des fins de prospection commerciale

Par une délibération du 21 décembre 2015 (n°2015-454), la CNIL a mis en exergue tout ce qu’il ne faut pas faire, en matière de traitement de données à caractère personnel, dans le cadre de la constitution d’une base de données et sa location à des tiers à des fins de prospection commerciale.

PROFILS SENIORS, société de sondage a, dans sa base, des données concernant plus d’un million de personnes. Cette base est constituée grâce à la collecte desdites données par téléphone, au moyen d’un call center situé à l’Ile Maurice, étant précisé que les données collectées sont ensuite hébergées par un autre sous-traitant situé dans l’Union européenne.

En 2015, la CNIL a décidé de lancer une mission de contrôle dans les locaux de cette société et ce, après avoir été informée, en 2013 par une plainte, de certaines pratiques illicites mises en œuvre par cette société au titre des traitements des données à caractère personnel qu’elle réalise.

Ce fut l’occasion pour la CNIL de constater d’importants manquements, dont :

• l’absence de formalité préalable à la collecte et aux traitements mis en œuvre ;
• l’absence de contrat conclu avec le call center, situé à l’Ile Maurice ;
• l’absence de demande d’autorisation faite à la CNIL concernant ce transfert de données hors UE ;
• le caractère déloyale de la collecte des données, dès lors que les personnes interrogées pensaient participer à un sondage, alors qu’en réalité le fichier constitué était destiné à la location à des fins de prospection commerciale ;
• le manquement à l’obligation de recueillir le consentement préalable des personnes à recevoir des courriels de prospection commerciale ;
• le manquement à l’obligation de garantir la sécurité et la confidentialité des données, le contrat conclu avec l’hébergeur ne comportant aucune clause spécifique.

Au final, la formation restreinte de la CNIL n’a prononcé qu’un avertissement public à l’encontre de PROFILS SENIORS et ce, compte tenu des « actions correctrices » réalisées entre-temps par cette dernière.