Le 15 mai 2025, la CNIL a infligé une amende de 900 000 € à la société Solocal Marketing Services pour des manquements graves en matière de prospection commerciale sans consentement (valide) et de transmission illégale des données personnelles à des partenaires.
Comprendre la sanction : une chaîne de collecte opaque de la donnée
Plusieurs fondements sont retenus par la CNIL pour sanctionner Solocal Marketing Services. Tous ces fondements découlent d’une mauvaise acquisition de la donnée dans un premier temps, qui n’est cependant pas du fait direct de l’organisme, puisqu’il achète ces données, qui sont récoltées par d’autres organismes.
Les données étaient par la suite revendues par Solocal Marketing Services ou utilisées pour réaliser, pour le compte de ses clients, des campagnes de démarchage par SMS et email.
Les manquements constatés
- Une absence de consentement valide
Le manquement le plus important, dont découle les manquements suivants, est la récolte du consentement des personnes dans des modalités ne répondant pas aux recommandations de la CNIL en la matière.
Alors qu’un consentement doit, pour rappel, être libre, spécifique et éclairé, les organismes récoltant la donnée pour le compte de Solocal Marketing Services utilisaient dans leurs formulaires de récolte des techniques mariant l’usage de polices et couleurs d’écritures différentes, la confusion par la taille ou l’emplacement des informations, afin que les utilisateurs ne puissent pas refuser la réutilisation de leurs données à des fins commerciales.
- L’incapacité à prouver le consentement des personnes
Solocal Marketing Services ne pouvait d’ailleurs pas fournir la preuve du consentement des personnes, mais continuait pourtant à utiliser les données aux fins prospectives. Pour rappel, un organisme incapable de démontrer que les personnes ont consenties à un traitement (par une information technique, une signature, case à cocher, un formulaire, etc.) ne peut se prévaloir de ce consentement pour ses activités de traitement.
- La transmission illégale des données
La société transmettait également à des clients les données, alors même que l’incapacité de démontrer que les personnes ont consenti au traitement rend l’opération de transfert illicite.
Sanction et mesures de la CNIL
La CNIL sanctionne l’entreprise à une amende administrative de 900 000 €, mais l’enjoint également de cesser ses activités de prospection commerciale tant que le traitement n’est pas mis en conformité avec le RGPD. Solocal Marketing Services est par ailleurs soumis à une astreinte de 10 000 € par jour de retard, si le traitement n’est pas rendu conforme après un délai de 9 mois.
A noter que si la CNIL n’a pas contrôlé les sous-traitants de Solocal chargés de la récolte des données (ceux qui récoltent incorrectement le consentement), ils seront bien entendu concernés directement par les activités de mise en conformité. De même les clients de Solocal ayant reçu les données aux fins de préparer leurs propres actions de prospection ne pourront par ailleurs pas utiliser les données, puisqu’ils ne pourront eux non plus pas démontrer l’existence du consentement des personnes.
Ce qu’il faut retenir de cette décision
- Responsabilité du responsable du traitement : il incombe au responsable du traitement de s’assurer que le consentement des personnes a correctement été récolté (lorsque le traitement se fonde sur ce fondement de licéité), même lorsqu’il ne récolte pas lui-même les données ;
- Preuve du consentement : la capacité à démontrer que le consentement a été récolté, et les méthodes de récolte, sont essentielles. Un organisme qui ne peut prouver le consentement est traité comme s’il ne l’avait jamais récolté ;
- Mise en page des formulaires : la mise en page choisie ne doit pas avoir pour objectif, ni pour effet, de masquer des éléments essentiels permettant de choisir les finalités du traitement, les consentements, ou les données qui seront partagées.
_____________________________________
Des questions ? Besoin d’aide ? Contactez-nous pour découvrir comment nous pouvons vous accompagner dans votre démarche de conformité et renforcer la confiance de vos clients dans la gestion de leurs données personnelles.