Délibération SAN-2020-008
Grande distribution (programme de fidélité et site marchand) : 2 250 000 € d’amende, délibération SAN-2020-008
Le 18 novembre 2020, la formation restreinte de la CNIL a infligé 2 250 000 € à une société du secteur « Grande distribution (programme de fidélité et site marchand) » pour manquements aux dispositions suivantes : article L34-5 du CPCE, article 21 du RGPD, article 5 §1 e) du RGPD, article 12 du RGPD, article 13 du RGPD, article 15 du RGPD, article 17 du RGPD, article 32 du RGPD, article 33 du RGPD, article 82 de la loi du 6 janvier 1978 (délibération SAN-2020-008).
Les faits
Entre juin 2018 et avril 2019, la CNIL reçoit quinze plaintes visant des sociétés d'un même groupe. Sept portent sur de la prospection malgré une opposition, quatre sur des demandes d'effacement, trois sur des demandes d'accès. Un lien de désabonnement renvoyait vers une page de connexion à un compte client.
| Date | 18 novembre 2020 |
|---|---|
| Numéro | SAN-2020-008 |
| Organisme | Non communiqué (délibération publiée sans le nom) |
| Secteur | Grande distribution (programme de fidélité et site marchand) |
| Amende | 2 250 000 € |
| Autres mesures | Publication ; anonymisation après deux ans |
| Canaux | courriel |
| Origine des données | Collecte directe auprès des personnes : clients du programme de fidélité et visiteurs du site |
| Texte de la délibération | Lire sur Légifrance |
Les manquements retenus
Article L34-5 du code des postes et des communications électroniques
Consentement préalable à la prospection directe par système automatisé, télécopieur ou courrier électronique vers une personne physiqueLe lien de désabonnement d'un courriel de prospection exigeait un compte client.
« les personnes ne disposant pas d’un compte client n’ont pas pu s’opposer simplement à l’utilisation de leurs données personnelles à des fins de prospection commerciale »
Extrait de la délibération SAN-2020-008
Article 21 du RGPD
Droit d’opposition, absolu quand les données servent à de la prospectionDes demandes d'opposition à la prospection n'étaient pas systématiquement prises en compte.
« un manquement à l’article 21 du Règlement est constitué »
Extrait de la délibération SAN-2020-008
Autres dispositions retenues par la délibération : article 5 §1 e) du RGPD, article 12 du RGPD, article 13 du RGPD, article 15 du RGPD, article 17 du RGPD, article 32 du RGPD, article 33 du RGPD, article 82 de la loi du 6 janvier 1978.
Les textes cités
- Article L34-5 du code des postes et des communications électroniques : consentement préalable à la prospection directe par système automatisé, télécopieur ou courrier électronique vers une personne physique. Version : réd. loi n° 2020-901 du 24/07/2020, art. 8, en vigueur depuis le 25/07/2020, relu le 21/10/2026.
- Article 21 du RGPD : droit d’opposition, absolu quand les données servent à de la prospection. Version : règlement (UE) 2016/679 du 27/04/2016, JOUE L 119 du 04/05/2016, texte relu le 21/10/2026.
- Article 5, paragraphe 1, e) du RGPD : limitation de la conservation : pas plus longtemps que nécessaire. Version : règlement (UE) 2016/679 du 27/04/2016, JOUE L 119 du 04/05/2016, texte relu le 21/10/2026.
- Article 12 du RGPD : transparence de l’information et modalités d’exercice des droits. Version : règlement (UE) 2016/679 du 27/04/2016, JOUE L 119 du 04/05/2016, texte relu le 21/10/2026.
- Article 13 du RGPD : information quand les données sont collectées auprès de la personne. Version : règlement (UE) 2016/679 du 27/04/2016, JOUE L 119 du 04/05/2016, texte relu le 21/10/2026.
- Article 15 du RGPD : droit d’accès. Version : règlement (UE) 2016/679 du 27/04/2016, JOUE L 119 du 04/05/2016, texte relu le 21/10/2026.
- Article 17 du RGPD : droit à l’effacement. Version : règlement (UE) 2016/679 du 27/04/2016, JOUE L 119 du 04/05/2016, texte relu le 21/10/2026.
- Article 32 du RGPD : sécurité du traitement. Version : règlement (UE) 2016/679 du 27/04/2016, JOUE L 119 du 04/05/2016, texte relu le 21/10/2026.
- Article 33 du RGPD : notification d’une violation de données. Version : règlement (UE) 2016/679 du 27/04/2016, JOUE L 119 du 04/05/2016, texte relu le 21/10/2026.
- Article 82 de la loi du 6 janvier 1978 (délibération) : information et consentement avant d’écrire ou de lire des informations sur le terminal (traceurs). Version : rédaction applicable à la date des faits, telle que citée par la délibération.
Ce que le donneur d’ordre en retient
Contrôle à exiger d’un prestataire ou d’un vendeur de fichier :
- Contrôler le formulaire de collecte : aucune case cochée d’avance, un refus aussi simple que l’accord, et un lien de désinscription qui marche sans connexion à un compte.
- Demander par écrit qui reçoit une demande d’opposition (le donneur d’ordre ou le prestataire), en combien de temps elle atteint tous les fichiers, et comment la preuve est gardée.
Des sanctions pour le même manquement
- Routage de courriels de prospection pour le compte d'annonceurs : 7 300 € d’amende, délibération SAN-2020-016
7 décembre 2020, Routage de courriels de prospection pour le compte d'annonceurs - Livraison de repas à des employés de bureau : 20 000 € d’amende, délibération SAN-2020-018
8 décembre 2020, Livraison de repas à des employés de bureau - Vente privée en ligne (bricolage, jardinage) : 500 000 € d’amende, délibération SAN-2021-008
14 juin 2021, Vente privée en ligne (bricolage, jardinage)
Votre campagne, et le régime qui s’y applique
Décrivez qui vous voulez toucher et par quels canaux. La demande part vers un seul professionnel de la prospection, qui vous répond par écrit.