Sanction CNIL voyance : 400 000 € et 5 leçons 2026
Sanction CNIL voyance : 400 000 € pour collecte excessive, données sensibles et prospection sans consentement — 5 leçons RGPD à retenir en 2026.
- Contexte : deux sociétés, quatre manquements
- I. Enregistrement téléphonique : la minimisation d’abord
- II. Durées de conservation disproportionnées
- III. Données sensibles : le consentement explicite est incontournable
- IV. Prospection commerciale sans consentement valable
- Mettre en place un enregistrement d’appels conforme
- RGPD et L. 34-5 CPCE : deux régimes qui se cumulent
- Documenter la nécessité : la charge de la preuve pèse sur vous
- Les 5 leçons à retenir
- Checklist de conformité pour les activités B2C
- FAQ
L’essentiel. Fin 2024, la CNIL a sanctionné deux sociétés de voyance pour un total de 400 000 € (250 000 € et 150 000 €). Quatre manquements structurants : enregistrement téléphonique systématique et disproportionné (défaut de minimisation), durées de conservation excessives, collecte de données sensibles sans consentement explicite, et prospection commerciale sans consentement valable. Les leçons dépassent largement le secteur de la voyance : elles concernent tout organisme qui enregistre des appels, conserve des fichiers clients et fait de la prospection.
Ces décisions sont précieuses parce qu’elles cristallisent, en une seule affaire, les erreurs les plus fréquentes des entreprises B2C. Voyons ce qu’elles nous apprennent et comment sécuriser vos propres traitements.
Contexte : deux sociétés, quatre manquements
Les deux sociétés visées exploitaient des services de consultation de voyance par téléphone et une base de prospection partagée de plusieurs millions de contacts. Au terme de son contrôle, la formation restreinte de la CNIL a retenu quatre séries de manquements au RGPD et au Code des postes et des communications électroniques. Reprenons-les un à un.
I. Enregistrement téléphonique : la minimisation d’abord
Ce que reprochait la CNIL
Les sociétés enregistraient systématiquement et intégralement les conversations entre voyants, standardistes et clients, et conservaient ces enregistrements plusieurs mois. Justifications avancées : formation, contrôle qualité, preuve contractuelle. Les sociétés estimaient respecter la minimisation en supprimant aléatoirement la moitié des enregistrements chaque soir et en excluant les données bancaires.
La CNIL a écarté cet argument. Sa position est instructive : la suppression aléatoire d’une partie des enregistrements est sans incidence sur la qualification, car elle intervient après la collecte. Or le principe de minimisation (article 5(1)©) doit être implémenté au moment même de la collecte, pas rétroactivement. Enregistrer d’abord, trier ensuite, ne respecte pas le RGPD.
Le raisonnement de proportionnalité
La CNIL a analysé chaque finalité invoquée :
- Contrôle qualité et formation : l’objectif peut être atteint par un moyen moins intrusif — un enregistrement ponctuel et aléatoire, et non l’enregistrement intégral et systématique de toutes les conversations. L’enregistrement total est donc excessif.
- La société n’apportait aucun élément justifiant la nécessité d’enregistrer l’intégralité des échanges.
La formation restreinte a rappelé qu’elle avait déjà sanctionné, à plusieurs reprises et depuis plusieurs années, des organismes pratiquant l’enregistrement intégral de conversations téléphoniques dans des conditions non conformes — notamment, dès l’été 2020, à propos d’un service client, puis de nouveau en 2023 à l’égard d’une société proposant, comme en l’espèce, des consultations de voyance par téléphone. La doctrine est donc constante : l’enregistrement doit être ciblé, pas généralisé.
Ce qu’il faut retenir
L’enregistrement d’une conversation téléphonique est en soi un traitement de données personnelles. Pour être licite, il doit être :
- ciblé (échantillon aléatoire, pas 100 % des appels) lorsque la finalité est la qualité ou la formation ;
- proportionné à un besoin démontré et documenté ;
- transparent (information préalable des interlocuteurs) ;
- conservé le temps strictement nécessaire.
II. Durées de conservation disproportionnées
L’article 5(1)(e) impose que les données ne soient pas conservées au-delà de ce qui est nécessaire à la finalité — c’est le principe de limitation de la conservation. Une fois la finalité atteinte, les données doivent être supprimées, anonymisées, ou archivées pour une durée déterminée lorsqu’une obligation légale ou un besoin contentieux le justifie.
En matière de gestion commerciale, la doctrine de la CNIL (référentiel relatif aux traitements de gestion commerciale) retient une conservation des données de prospection de 3 ans à compter de la fin de la relation commerciale ou du dernier contact du prospect. Or les sociétés conservaient les données 6 ans — durée jugée excessive.
Le tableau suivant synthétise les repères de conservation usuels (à adapter à chaque finalité et documenter au registre) ; notre tableau des durées de conservation détaille chaque cas.
| Donnée / finalité | Durée active courante | Après la relation |
|---|---|---|
| Prospect (personne non cliente) | Jusqu’au dernier contact | 3 ans après le dernier contact |
| Client (prospection) | Durée de la relation | 3 ans après la fin de la relation |
| Enregistrements d’appels (qualité) | Quelques mois maximum | Suppression après exploitation |
| Pièces comptables | — | 10 ans (obligation légale) |
| Données de contentieux | Durée de la procédure | Jusqu’à prescription |
III. Données sensibles : le consentement explicite est incontournable
Le principe : interdiction de l’article 9
Le traitement de données sensibles — dont l’orientation sexuelle, la santé et les convictions religieuses — est interdit par principe (article 9 du RGPD), sauf exception limitativement prévue. Or les sociétés collectaient ce type de données via un formulaire web d’évaluation de « compatibilité amoureuse » et au fil des consultations téléphoniques.
La défense écartée
Les sociétés soutenaient que ces données n’étaient pas « sensibles » et que, divulguées spontanément par les clients, elles relèveraient de l’exception des données « manifestement rendues publiques » (art. 9(2)(e)). La CNIL a rejeté ces deux arguments :
- En s’appuyant sur la jurisprudence de la CJUE (arrêt du 1er août 2022, aff. C-184/20), elle a rappelé que des données permettant de déduire une donnée sensible (ici, l’orientation sexuelle à partir d’un contexte de compatibilité amoureuse) relèvent elles-mêmes de l’article 9. La sensibilité s’apprécie par inférence, pas seulement de façon littérale.
- L’exception des données « manifestement rendues publiques » ne s’applique pas à des confidences faites dans une conversation privée entre un voyant et son client : celles-ci ne sont pas rendues publiques par la personne.
Le consentement explicite
Enfin, la simple volonté de recevoir une prestation ne vaut pas consentement explicite au traitement de données sensibles. Le consentement doit résulter d’une déclaration écrite ou d’un acte positif clair, spécifique à ces données. Notre modèle de consentement RGPD illustre les mentions attendues. À défaut, l’obligation de recueillir un consentement explicite (art. 9(2)(a)) n’est pas remplie.
IV. Prospection commerciale sans consentement valable
Le quatrième manquement porte sur la prospection par voie électronique. L’article L. 34-5 du Code des postes et des communications électroniques interdit la prospection directe par courrier électronique ou SMS utilisant les coordonnées d’une personne physique qui n’a pas exprimé préalablement son consentement — le régime dit de l’opt-in.
L’une des sociétés prospectait par e-mail et SMS à partir d’une base commune avec sa partenaire, contenant plusieurs millions de fiches. Problème : le formulaire de collecte ne mentionnait pas clairement le partenaire commercial destinataire, empêchant un consentement éclairé.
La CNIL a rappelé deux règles clés de la prospection commerciale :
- Lorsque les données n’ont pas été collectées directement par l’organisme qui prospecte, le consentement peut avoir été recueilli par le primo-collectant, à condition qu’il l’ait été pour le compte de l’organisme prospecteur. À défaut, c’est au prospecteur de recueillir lui-même le consentement avant tout envoi.
- Pour que le consentement soit éclairé, la personne doit être clairement informée de l’identité du (ou des) prospecteur(s). Une liste exhaustive et à jour des partenaires doit être tenue à disposition au moment du recueil — directement sur le support de collecte ou, si elle est trop longue, via un lien hypertexte vers cette liste et les politiques de confidentialité.
Autrement dit : acheter ou partager un fichier ne dispense jamais de vérifier la validité du consentement à la source.
Mettre en place un enregistrement d’appels conforme
Puisque l’enregistrement téléphonique est au cœur de l’affaire, voici la méthode pour le sécuriser — transposable à tout centre d’appels, service client ou service commercial.
- Passer de l’exhaustif au ciblé. Pour une finalité de qualité ou de formation, n’enregistrez qu’un échantillon aléatoire d’appels (un faible pourcentage suffit). L’enregistrement de 100 % des conversations est presque toujours jugé excessif.
- Informer préalablement. Chaque interlocuteur doit être informé de l’enregistrement, de sa finalité, de sa durée de conservation et de ses droits — au début de l’appel et dans la politique de confidentialité. C’est une exigence de transparence (finalité et information).
- Exclure les données inutiles. Coupez l’enregistrement lors de la saisie de coordonnées bancaires ou de données sensibles ; ne conservez pas ce qui n’est pas nécessaire.
- Restreindre les accès. Seuls les personnels chargés de la qualité ou de la formation accèdent aux enregistrements, selon le besoin d’en connaître.
- Fixer une durée courte et purger automatiquement.
- Documenter au registre, et réaliser une analyse d’impact si le dispositif présente un risque élevé (surveillance des salariés, volumétrie importante).
Le fil directeur reste le même que celui retenu par la CNIL : la minimisation se décide avant d’enregistrer, jamais après.
RGPD et L. 34-5 CPCE : deux régimes qui se cumulent
L’affaire rappelle que la prospection électronique obéit à deux corps de règles qui se superposent, sans que l’un dispense de l’autre :
- le RGPD, qui exige une base légale, une information transparente et le respect des droits ;
- l’article L. 34-5 du CPCE, qui impose, pour la prospection B2C par e-mail ou SMS, un consentement préalable (opt-in).
Concrètement, un consentement recueilli pour « recevoir des offres » ne vaut que s’il est libre, spécifique, éclairé et univoque au sens du RGPD, et s’il identifie les organismes qui prospecteront au sens du CPCE. Le partage d’un fichier entre partenaires ne fonctionne que si cette double exigence est satisfaite dès la collecte initiale. À défaut, la base de prospection est viciée dans son ensemble — comme l’a illustré la sanction.
Enfin, la règle de l’opt-in / opt-out varie selon le canal et la cible : l’e-mail et le SMS en B2C relèvent de l’opt-in ; le régime de la clientèle existante et le B2B obéissent à des nuances qu’il faut cartographier finalité par finalité.
Documenter la nécessité : la charge de la preuve pèse sur vous
Un fil rouge traverse toute l’affaire : à chaque manquement, la CNIL relève que la société n’apporte aucun élément justifiant la nécessité de sa pratique. C’est l’illustration directe du principe d’accountability (article 5(2)) : ce n’est pas à l’autorité de démontrer que votre traitement est excessif, c’est à vous de démontrer qu’il est nécessaire et proportionné.
Concrètement, pour chaque traitement sensible (enregistrement, conservation longue, collecte de données particulières, prospection), constituez un dossier de preuve : la finalité poursuivie, l’analyse des alternatives moins intrusives écartées, la justification de la durée retenue, la base légale, les mesures de sécurité. Ce dossier, tenu à jour et rattaché au registre, est ce qui fait la différence lors d’un contrôle. Sans lui, même une pratique de bonne foi devient indéfendable, faute de pouvoir en établir la nécessité.
Ce raisonnement vaut pour tous les secteurs : dès que vous instaurez une pratique intrusive « parce que c’est plus pratique » ou « pour se couvrir », demandez-vous si vous pourriez en démontrer la nécessité devant la CNIL. Si la réponse est non, la pratique est probablement excessive.
Les 5 leçons à retenir
| # | Leçon | Action concrète |
|---|---|---|
| 1 | La minimisation se conçoit à la collecte | Enregistrer un échantillon aléatoire, pas 100 % des appels |
| 2 | Les durées se justifient et se documentent | Cartographier chaque finalité dans le tableau de conservation |
| 3 | Les données sensibles s’apprécient par inférence | Pas de collecte art. 9 sans consentement explicite |
| 4 | La prospection exige un opt-in éclairé | Identifier les partenaires ; liste à jour accessible |
| 5 | Un fichier acheté n’est pas un consentement | Vérifier la chaîne de consentement à la source |
Checklist de conformité pour les activités B2C
- Enregistrements : passer d’un enregistrement systématique à un enregistrement ponctuel et aléatoire, avec information préalable.
- Durées : appliquer la règle des 3 ans pour la prospection ; purger l’existant.
- Formulaires : identifier les partenaires destinataires et publier une liste à jour.
- Consentement sensible : recueillir un consentement explicite et spécifique (case dédiée, déclaration claire).
- Base légale : documenter la base de chaque traitement au registre.
- Audit : passer en revue les pratiques via un audit RGPD et corriger avant tout contrôle.
Pour les organisations qui gèrent des volumes importants de prospects et de partenaires, un logiciel RGPD permet d’industrialiser le suivi des consentements, des durées de conservation et des listes de partenaires.
FAQ
Peut-on enregistrer les appels téléphoniques de son service client ?
Oui, mais de façon proportionnée. Pour une finalité de qualité ou de formation, un enregistrement ponctuel et aléatoire suffit ; l’enregistrement systématique et intégral de tous les appels est jugé excessif. Il faut informer préalablement les interlocuteurs, documenter la finalité et limiter la durée de conservation.
Combien de temps conserver les données d’un prospect ?
En principe 3 ans à compter du dernier contact resté sans suite (ouverture d’un e-mail, clic, demande de documentation), conformément à la doctrine de la CNIL. Au-delà, les données doivent être supprimées ou anonymisées, sauf obligation légale d’archivage. Voir notre tableau des durées de conservation.
Une donnée « anodine » peut-elle être considérée comme sensible ?
Oui. Depuis l’arrêt CJUE du 1er août 2022 (C-184/20), une donnée qui permet de déduire une information sensible (orientation sexuelle, santé, opinions) relève de l’article 9, même si elle n’est pas sensible « en apparence ». Le contexte de collecte compte autant que la donnée elle-même.
Puis-je prospecter à partir d’un fichier acheté ou partagé ?
Seulement si le consentement a été recueilli pour votre compte au moment de la collecte initiale, avec une information claire de votre identité. Si ce n’est pas le cas, vous devez recueillir vous-même le consentement avant tout envoi. En B2C, la prospection par e-mail/SMS suppose un opt-in préalable (art. L. 34-5 CPCE).
Quel montant de sanction risque une entreprise pour ces manquements ?
Les sanctions de la CNIL peuvent atteindre 20 M€ ou 4 % du chiffre d’affaires annuel mondial. Dans cette affaire, les montants (250 000 € et 150 000 €) ont été modulés selon la taille des sociétés, la gravité et le nombre de personnes concernées. La CNIL prononce aussi des injonctions de mise en conformité sous astreinte.
Ces règles s’appliquent-elles au-delà de la voyance ?
Absolument. L’enregistrement d’appels, les durées de conservation, le consentement aux données sensibles et l’opt-in de prospection concernent tout organisme B2C : e-commerce, assurance, immobilier, services. Voir par exemple nos obligations RGPD pour l’e-commerce.
La suppression aléatoire d’une partie des enregistrements suffit-elle ?
Non. C’est précisément l’argument écarté par la CNIL. Supprimer chaque soir la moitié des enregistrements intervient après la collecte : la donnée a déjà été traitée. Le principe de minimisation exige de ne collecter que le nécessaire dès l’origine. La bonne approche n’est pas de tout enregistrer puis d’en effacer une partie, mais de n’enregistrer d’emblée qu’un échantillon ciblé.
Faut-il une analyse d’impact pour un dispositif d’enregistrement d’appels ?
Cela dépend du risque. Un enregistrement massif de conversations, surtout s’il permet un suivi des salariés ou concerne un grand nombre de personnes, peut relever des traitements à risque élevé nécessitant une analyse d’impact préalable. Documentez cette appréciation ; en cas de doute, réalisez l’analyse — elle sécurise votre démonstration de conformité au titre de l’accountability.
Analyse fondée sur les décisions de sanction de la CNIL rendues fin 2024, telles que consultées et synthétisées ; à jour au 10 juillet 2026. Cet article a une vocation informative et ne constitue pas un conseil juridique individualisé.