Le Conseil d’Etat vient de saisir la Cour de Justice de l’Union européenne de questions éminemment cruciales au sujet de la transmission de données personnelles à des partenaires à des fins de prospection commerciale B to C.
1. Bref rappel de la position de la CNIL sur la transmission de données personnelles à des partenaires à des fins de prospection commerciale B to C
La CNIL considère que tout organisme qui entend transmettre des données personnelles à des partenaires à des fins de prospection commerciales électroniques B to C doit respecter deux séries de principes : l’information des personnes concernées, d’une part, et leur consentement, d’autre part.
Afin de s’assurer d’un consentement « éclairé »[1], l’organisme doit, selon la CNIL, être porté à la connaissance des personnes concernées « l’identité des partenaires pour le compte desquelles le consentement est collecté et [les]finalités pour lesquelles les données seront utilisées ». La CNIL va même plus loin en exigeant la mise à disposition d’une liste exhaustive et à jour des partenaires sur le formulaire de la collecte ou via un lien hypertexte[2].
2. L’affaire : la validité du consentement des personnes concernées à la transmission de leurs données personnelles à des partenaires pour de la prospection commerciale B to C
Le Groupe CANAL + a fait réaliser des opérations de prospection commerciale B to C, par voie électronique, auprès de millions de personnes sans avoir recueilli expressément leur consentement. Le Groupe CANAL + avait obtenu la liste de ces personnes auprès de fournisseurs d’accès (FAI). Le formulaire de collecte utilisé par les FAI comprenait bien une case à cocher permettant de formaliser le consentement de la personne concernée à la réception de prospections commerciales par des partenaires. Toutefois, ce formulaire faisait référence aux « partenaires » des FAI, sans que ces partenaires ne soient « nommément identifiés » que ce soit directement dans le formulaire (via une liste accessible un lien hypertexte) ou par un autre moyen.
La CNIL, suivant sa position en la matière, a considéré que, dans de telles conditions, le consentement des personnes concernées à la transmission de leurs données à des partenaires, tels que le Groupe Canal +, pour des opérations de prospection commerciale, n’était pas éclairé et ne pouvait donc être considéré comme valablement recueilli[3]. Ce manquement (aux côtés d’autres manquements) a conduit la CNIL à sanctionner la société Groupe CANAL + (amende de 600.000 euros).
Le Groupe Canal + a formé un recours devant le Conseil d’Etat considérant que la mention de « partenaires » était suffisante.
3. Les questions cruciales posées à la CJUE en matière de transmission de données à des partenaires pour de la prospection B to C
Le Conseil d’Etat a décidé de soumettre à la CJUE plusieurs questions compte tenu des « difficultés sérieuses » que présente le sujet[4] :
- Est-ce que le consentement d’une personne concernée à l’utilisation de ses données personnelles par une catégorie de destinataires identifiée par la mention « partenaires » peut être considéré comme un consentement valable juridiquement ?
- Quel degré de précision doit être donné sur la catégorie de destinataires ? La formule « tout partenaire » est-elle suffisante ?
La position de la CJUE est particulièrement attendue et pourrait conduire à revoir les pratiques en matière de transmission des données personnelles à des partenaires dans un but de prospection commerciale B to C.
A suivre…
[1] Cf. article 4 du RGPD.
[2] https://www.cnil.fr/fr/la-prospection-vers-les-particuliers-b-c-quelles-regles-pour-transmettre-des-donnees-des-partenaires
[3] Délibération SAN-2023-015 du 12 octobre 2023.