Délibération SAN-2024-007 du 25 avril 2024

La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de Monsieur Philippe-Pierre CABOURDIN, président, M. Vincent LESCLOUS, vice-président, Mmes Laurence FRANCESCHINI et Isabelle LATOURNARIE-WILLEMS, M. Alain DRU, membres ;

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;

Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;

Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;

Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;

Vu la délibération n° SAN-2023-025 du 29 décembre 2023 adoptée par la formation restreinte à l’encontre de la société X ;

Vu les éléments transmis par la société X le 5 février 2024 ;

Après en avoir délibéré lors de la séance du 25 avril 2024, a adopté la décision suivante :

1. FAITS ET PROCÉDURE

1. La société X (ci-après " la société ") est une société qui met en œuvre des sites en ligne de jeux-concours et de tests de produits par lesquels elle collecte des données de prospects. Ces données sont ensuite vendues à des partenaires annonceurs effectuant des opérations de prospection commerciale.

1. Par décision du 29 décembre 2023, notifiée par courriel le 29 janvier 2024 et par lettre recommandée avec accusé de réception le 6 février 2024, la formation restreinte a, notamment, prononcé à l’égard de la société une injonction de mettre en œuvre des formulaires de collecte permettant de recueillir un consentement valable, assortie d’une astreinte de mille euros (1000) euros par jour de retard à l’issue d’un délai d’un mois suivant la notification de la délibération de la formation restreinte.

1. L’injonction était précisément formulée en ces termes :

" mettre en œuvre sur les sites qu’elle édite un formulaire de collecte des données de prospects permettant de recueillir un consentement libre, spécifique, éclairée et univoque quant à la transmission de leurs données à caractère personnel à des partenaires à des fins de prospection. "

1. Par courriel du 5 février 2024, complétés par des courriers des 19 février et 18 mars 2024, la société a répondu à l’injonction.

1. MOTIFS DE LA DECISION

1. La formation restreinte relève qu’il ressort des éléments de réponse fournis par la société le 5 février 2024 qu’elle propose trois formulaires distincts de collecte de données à caractère personnel utilisés à partir de sites de tests de produits ou de jeu-concours.

1. S’agissant du premier formulaire, la formation restreinte relève que sous les champs prévus pour collecter les données des participants, une mention d’information précise : " en continuant, je reconnais avoir lu la politique de protection des données et pris connaissance de la liste des partenaires ". Sous cette mention figurent deux boutons rouges avec des textes en blanc et une taille de police quasiment identique à celle de la mention d’information. Le premier bouton indique " Je participe et j’accepte de recevoir les offres des partenaires de … ". Le second bouton indique " Je participe et je refuse de recevoir les offres des partenaires de … ".

1. S’agissant du deuxième formulaire, la formation restreinte relève que sous les champs prévus pour collecter les données des participants, une mention d’information précise : " en continuant, je reconnais avoir lu la politique de protection des données. En cliquant sur " J’ACCEPTE ET CONTINUE ", j’accepte de recevoir les offres des partenaires de l’opération. En cliquant sur " JE REFUSE ET CONTINUE ", je continue ma participation en refusant de recevoir les offres des partenaires de l’opération ". Sous ce texte, figure une case à cocher permettant d’accepter le règlement de l’opération et deux boutons bleus avec des textes en blanc dont la taille de police est un peu plus grande que celle de la mention d’information. Le premier bouton indique " J’ACCEPTE ET CONTINUE ". Le second bouton indique " JE REFUSE ET CONTINUE ".

1. S’agissant du troisième formulaire, la formation restreinte relève que sous les champs prévus pour collecter les données des participants, figurent une case à cocher permettant d’accepter le règlement de l’opération ainsi qu’une mention d’information qui précise : " en continuant, je reconnais avoir lu la politique de protection des données. En cliquant sur " J’accepte et continue ma participation ", j’accepte de recevoir les offres des partenaires de l’opération. En cliquant sur " je refuse et continue ma participation ", je continue ma participation en refusant de recevoir les offres des partenaires de l’opération ". Sous cette mention se trouvent deux boutons bleus avec des textes en blanc et dont la taille de police est quasiment identique à celle de la mention. Le premier bouton indique " J’accepte et continue ma participation ". Le second bouton indique " Je refuse et continue ma participation ".

1. La formation restreinte considère que la lecture du texte explicatif, présent sur chacun des formulaires, permet de prendre pleinement conscience des conséquences d’un clic sur chacun des boutons. Ainsi, tels qu’ils sont conçus, les trois formulaires permettent aux personnes concernées de faire un choix éclairé.

1. Par ailleurs, la formation restreinte relève que l’aperçu global de l’interface et l’intitulé des boutons ne mettent pas particulièrement en valeur l’option permettant d’accepter de recevoir les offres des partenaires, au détriment de celle permettant d’exprimer un refus. Les personnes concernées peuvent donc exprimer un choix univoque et libre reflétant leur préférence en matière de transmission des données à des fins de prospection commerciale.

1. Dans ces conditions, la formation restreinte considère que les trois formulaires proposés par la société permettent de recueillir un consentement univoque, libre et éclairé, conformément aux exigences des articles 6 et 4, paragraphe 11 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données (ci-après le " Règlement " ou " RGPD ").

1. Il résulte de ce qui précède que la société a satisfait à l’injonction dans le délai imparti.

PAR CES MOTIFS

La formation restreinte de la CNIL, après en avoir délibéré, décide :

• de dire n’y avoir lieu à liquidation de l’astreinte ;

• de rendre publique, sur le site de la CNIL et sur le site de Légifrance, la présente délibération qui n’identifiera plus nommément la société à compter du 30 janvier 2026.

Le président de la formation restreinte

Philippe-Pierre CABOURDIN