Délibération SAN-2023-025
Jeux-concours et tests de produits en ligne : 75 000 € d’amende, délibération SAN-2023-025
Le 29 décembre 2023, la formation restreinte de la CNIL a infligé 75 000 € à une société du secteur « Jeux-concours et tests de produits en ligne » pour manquements aux dispositions suivantes : article 6 du RGPD, article 30 du RGPD (délibération SAN-2023-025).
Les faits
Une société collecte des données par des jeux-concours en ligne et les transmet à des partenaires qui font de la prospection. Elle retient le consentement comme base légale. Deux types de formulaires se succèdent : à un bouton, puis à deux boutons.
| Date | 29 décembre 2023 |
|---|---|
| Numéro | SAN-2023-025 |
| Organisme | Non communiqué (délibération publiée sans le nom) |
| Secteur | Jeux-concours et tests de produits en ligne |
| Amende | 75 000 € |
| Autres mesures | Injonction sous astreinte de 1 000 euros par jour ; Publication ; anonymisation après deux ans |
| Canaux | courriel |
| Origine des données | Collecte directe auprès des personnes : formulaires de jeux-concours, données transmises à des partenaires annonceurs |
| Suite | SAN-2024-007 du 25 avril 2024 : pas de liquidation de l'astreinte. |
| Texte de la délibération | Lire sur Légifrance |
Les manquements retenus
Article 6 du RGPD
Licéité du traitement : la base légale (consentement, intérêt légitime...)La société confirme que la base légale de la transmission est le consentement.
« la base légale de la transmission des données de prospects à des fins de prospection par voie électronique, téléphonique ou postale est le consentement »
Extrait de la délibération SAN-2023-025
Autres dispositions retenues par la délibération : article 30 du RGPD.
Les textes cités
- Article 6 du RGPD : licéité du traitement : la base légale (consentement, intérêt légitime...). Version : règlement (UE) 2016/679 du 27/04/2016, JOUE L 119 du 04/05/2016, texte relu le 21/10/2026.
- Article 30 du RGPD : registre des activités de traitement. Version : règlement (UE) 2016/679 du 27/04/2016, JOUE L 119 du 04/05/2016, texte relu le 21/10/2026.
Ce que le donneur d’ordre en retient
Contrôle à exiger d’un prestataire ou d’un vendeur de fichier :
- Contrôler le formulaire de collecte : aucune case cochée d’avance, un refus aussi simple que l’accord, et un lien de désinscription qui marche sans connexion à un compte.
Des sanctions pour le même manquement
- KASPR : 240 000 € d’amende, délibération SAN-2024-020
5 décembre 2024, Extension de navigateur pour obtenir des coordonnées professionnelles - CALOGA : 80 000 € d’amende, délibération SAN-2025-002
15 mai 2025, Marketing digital (prospection par courriel)
Votre campagne, et le régime qui s’y applique
Décrivez qui vous voulez toucher et par quels canaux. La demande part vers un seul professionnel de la prospection, qui vous répond par écrit.