Sanctions CNIL voyance : les leçons de deux décisions

Le 26 septembre 2024, la CNIL a sanctionné COSMOSPACE de 250 000 euros et TELEMAQUE de 150 000 euros. Les deux décisions concernent notamment la conservation, les données sensibles et la prospection ; l’enregistrement systématique des appels vise COSMOSPACE. Elles montrent pourquoi une même base technique ne suffit pas à justifier tous les usages commerciaux.

Les références exactes sont SAN-2024-014 et SAN-2024-015. La communication de la CNIL, publiée le 10 octobre 2024, permet d’identifier les sociétés et les montants. Il s’agit ici d’une analyse des décisions de 2024, sans présumer l’état actuel de leurs pratiques.

Enregistrer les appels : justifier chaque finalité

COSMOSPACE invoquait notamment la qualité, la formation et la preuve contractuelle pour enregistrer intégralement les conversations. La CNIL a distingué ces objectifs : échantillonnage pour la qualité et la formation, limitation à la partie pertinente pour la conclusion du contrat, et déclenchement manuel possible face à une situation de détresse.

La suppression d’une partie des enregistrements après leur collecte ne démontrait pas que la collecte initiale était nécessaire. Le besoin éventuel de répondre à une réquisition judiciaire ne justifiait pas davantage une collecte organisée à l’avance dans cette seule perspective. Voir SAN-2024-014, notamment les paragraphes 56 à 77.

Pour votre dispositif, établissez une matrice par finalité : séquence à enregistrer, personnes concernées, durée, accès et solution moins intrusive examinée. Le guide sur l’enregistrement des appels détaille cette démarche. Il n’existe pas un pourcentage universel d’appels autorisés, valable pour tout secteur et tout objectif.

Conserver six ans : deux raisonnements à distinguer

Pour COSMOSPACE, la question portait notamment sur la conservation à des fins de prospection après la dernière prestation. La CNIL a rappelé son repère de trois ans et estimé que le doublement n’était pas justifié. Ce repère ne doit pas être transformé en durée légale unique de tous les documents clients.

Pour TELEMAQUE, la décision relève aussi l’absence de tri et d’archivage intermédiaire : toutes les données restaient en base active, avec des accès non différenciés, après la relation commerciale. Certaines pièces peuvent devoir être conservées pour un contentieux ou une obligation précise ; cela ne justifie pas le maintien de tout le dossier dans l’outil commercial. Source : SAN-2024-015, paragraphes 48 à 54.

La décision opérationnelle consiste à séparer les usages. Pour chaque catégorie, définissez le point de départ, les données encore nécessaires et les habilitations après la relation. Le tableau des durées de conservation aide à distinguer ces finalités. Une ouverture d’email ne doit pas être assimilée automatiquement à une nouvelle manifestation active du prospect.

Une confidence n’est pas un consentement explicite

Les consultations et formulaires pouvaient révéler la santé, les convictions ou l’orientation sexuelle. La CNIL a retenu que le souhait de recevoir la prestation et la transmission spontanée de ces informations ne constituaient pas le consentement explicite requis dans ces situations.

Il faut éviter d’en tirer une règle universelle selon laquelle toutes les données de l’Art. 9 reposent toujours sur le consentement. Le texte prévoit plusieurs exceptions avec leurs conditions ; les décisions constatent que les autres n’étaient pas mobilisables dans les traitements examinés. Une confidence privée ne devient pas non plus une donnée manifestement rendue publique par la personne.

La gestion des données sensibles exige donc une qualification, une exception applicable et une base légale. Si vous invoquez le consentement explicite, prévoyez une manifestation expresse et démontrable, distincte d’une simple participation à la prestation. L’écrit signé n’est pas l’unique modalité juridiquement possible.

Une base partagée ne mutualise pas les consentements

Les deux sociétés disposaient d’une base commune. La présentation des formulaires ne permettait pas aux personnes de comprendre clairement l’usage des données par l’une et l’autre. La CNIL a écarté la possibilité de se prévaloir réciproquement du consentement ainsi recueilli.

Avant une campagne commune, vérifiez quelle entité est couverte par l’information et le consentement, pour quels canaux et quelles offres. Conservez la version du formulaire et les éléments utiles de preuve. L’existence d’un contrat entre partenaires ne remplace pas cette vérification.

Le guide de prospection commerciale distingue les situations et les exceptions. La présente affaire ne signifie pas que toute prospection nécessite toujours un accord préalable identique, ni que l’appartenance à un groupe autorise automatiquement les autres sociétés à utiliser la base.

Ce que les montants ne permettent pas de déduire

Le total de 400 000 euros correspond à ces deux dossiers. Ce n’est pas un tarif applicable à tout centre d’appels. La CNIL a notamment pris en compte la gravité, les personnes concernées et la situation financière.

Le principe de responsabilité de l’Art. 5(2) oblige l’organisme à pouvoir démontrer le respect des principes. Il ne signifie pas que l’autorité serait dispensée d’établir les manquements dans une procédure de sanction. Préparez des preuves précises, tout en distinguant l’obligation de conformité des règles procédurales.

Ce qu’il faut retenir

• Les sanctions datent du 26 septembre 2024, avec des manquements propres à chaque société.
• La minimisation doit être examinée dès la collecte, par finalité.
• Une durée de prospection ne s’étend pas automatiquement aux archives et inversement.
• Une prestation ou une base partagée ne fournit pas un consentement explicite ou éclairé par elle-même.

FAQ

Ces décisions interdisent-elles tout enregistrement intégral ?

Elles apprécient les finalités et pratiques des sociétés contrôlées. Un autre dispositif doit être évalué selon son cadre et sa nécessité, sans transformer un besoin de preuve abstrait en collecte systématique.

Trois ans est-il le délai légal de tous les dossiers clients ?

Non. Le repère de prospection doit être distingué des obligations ou besoins attachés à d’autres pièces. Chaque durée et chaque accès doivent être justifiés.

Le consentement recueilli par un partenaire peut-il être utilisé ?

Il faut vérifier que l’organisme et l’usage envisagés étaient valablement couverts. Un fichier commun ou une assurance contractuelle du fournisseur ne suffit pas à le démontrer.

Recevez nos analyses pratiques sur la conformité : inscrivez-vous à la newsletter.

Thiébaut Devergranne est docteur en droit et fondateur de donneespersonnelles.fr. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données personnelles.