Délibération SAN-2020-018
Livraison de repas à des employés de bureau : 20 000 € d’amende, délibération SAN-2020-018
Le 8 décembre 2020, la formation restreinte de la CNIL a infligé 20 000 € à une société du secteur « Livraison de repas à des employés de bureau » pour manquements aux dispositions suivantes : article L34-5 du CPCE, article 12 du RGPD, article 13 du RGPD (délibération SAN-2020-018).
Les faits
Une société constitue sa base de prospects à partir de données d'un réseau social professionnel. Deux prestataires ajoutent les adresses électroniques professionnelles. Depuis 2017, 635 033 prospects ont reçu ses courriels.
| Date | 8 décembre 2020 |
|---|---|
| Numéro | SAN-2020-018 |
| Organisme | Non communiqué (délibération publiée sans le nom) |
| Secteur | Livraison de repas à des employés de bureau |
| Amende | 20 000 € |
| Autres mesures | Injonction sous astreinte de 500 euros par jour ; Publication ; anonymisation après deux ans |
| Canaux | courriel, SMS |
| Origine des données | Données extraites d’un réseau social professionnel : adresses professionnelles ajoutées par deux prestataires |
| Suite | SAN-2022-002 du 13 janvier 2022 : pas de liquidation de l'astreinte. |
| Texte de la délibération | Lire sur Légifrance |
Les manquements retenus
Article L34-5 du code des postes et des communications électroniques
Consentement préalable à la prospection directe par système automatisé, télécopieur ou courrier électronique vers une personne physiqueLa société invoque l'intérêt légitime pour des courriels envoyés à des adresses professionnelles.
« la prospection commerciale réalisée par la société entre dans le champ de l’alinéa 1 de l’article L. 34-5 du CPCE qui prévoit une base légale spécifique fondée sur le consentement, écartant ainsi la possibilité de l’intérêt légitime comme base légale pour ces opérations de prospection »
Extrait de la délibération SAN-2020-018
Les personnes ne savaient pas que leurs données avaient été collectées.
« les prospects démarchés n’ont pas eu connaissance de la collecte de leurs données à caractère personnel par la société »
Extrait de la délibération SAN-2020-018
Autres dispositions retenues par la délibération : article 12 du RGPD, article 13 du RGPD.
Les textes cités
- Article L34-5 du code des postes et des communications électroniques : consentement préalable à la prospection directe par système automatisé, télécopieur ou courrier électronique vers une personne physique. Version : réd. loi n° 2020-901 du 24/07/2020, art. 8, en vigueur depuis le 25/07/2020, relu le 21/10/2026.
- Article 12 du RGPD : transparence de l’information et modalités d’exercice des droits. Version : règlement (UE) 2016/679 du 27/04/2016, JOUE L 119 du 04/05/2016, texte relu le 21/10/2026.
- Article 13 du RGPD : information quand les données sont collectées auprès de la personne. Version : règlement (UE) 2016/679 du 27/04/2016, JOUE L 119 du 04/05/2016, texte relu le 21/10/2026.
Ce que le donneur d’ordre en retient
Contrôle à exiger d’un prestataire ou d’un vendeur de fichier :
- Demander à un fournisseur de coordonnées d’où viennent les données, quelle base légale il retient et comment les personnes sont informées, y compris quand elles n’ont rien donné elles-mêmes.
Des sanctions pour le même manquement
- Grande distribution (programme de fidélité et site marchand) : 2 250 000 € d’amende, délibération SAN-2020-008
18 novembre 2020, Grande distribution (programme de fidélité et site marchand) - Routage de courriels de prospection pour le compte d'annonceurs : 7 300 € d’amende, délibération SAN-2020-016
7 décembre 2020, Routage de courriels de prospection pour le compte d'annonceurs - Vente privée en ligne (bricolage, jardinage) : 500 000 € d’amende, délibération SAN-2021-008
14 juin 2021, Vente privée en ligne (bricolage, jardinage)
Votre campagne, et le régime qui s’y applique
Décrivez qui vous voulez toucher et par quels canaux. La demande part vers un seul professionnel de la prospection, qui vous répond par écrit.