Démarchage téléphonique illégal: Canal + condamné à 600 000 euros d’amende

Le 12 octobre 2023, la CNIL a sanctionné la société GROUPE CANAL+ d’une amende de 600 000 euros, notamment pour ne pas avoir respecté ses obligations en matière de prospection commerciale et de droits des personnes ( RGPD). Les manquements signalés et établis sont nombreux, pour ne pas dire que Canal + est dans l'illégalité sur .. quasi tous les sujets. 

Un des sous-traitants de la chaine câblée collaborait notamment hors des dispositifs légaux. C’est l’une des plus fortes amendes infligées en France depuis Bloctel, le nouveau plan de numérotation et la mise en place du RGPD.  Mais on est encore loin des scores des meilleurs escrocs, ceux de la taxe carbone :).

Le contexte.

La CNIL a reçu plusieurs plaintes concernant les difficultés rencontrées par des personnes dans la prise en compte de leurs droits par la société GROUPE CANAL+, éditrice de chaînes et distributrice d’offres de télévision payante.

Sur la base des constatations effectuées lors des contrôles, la formation restreinte – organe de la CNIL chargé de prononcer les sanctions – a considéré que la société avait manqué à plusieurs obligations prévues par le règlement général sur la protection des données (RGPD) et le code des postes et des communications électroniques (CPCE). Elle a prononcé à l’encontre de la société GROUPE CANAL+ une amende de 600 000 euros rendue publique.

Le montant de cette amende a été décidé au regard des manquements retenus, ainsi qu’en tenant compte de la coopération de la société et de l’ensemble des mesures qu’elle a prises au cours de la procédure pour se mettre en conformité.

Les manquements sanctionnés sont nombreux.

Un manquement à l’obligation de recueillir le consentement des personnes à recevoir de la prospection commerciale par voie électronique (articles L. 34-5 du CPCE et 7 du RGPD)

Le GROUPE CANAL + réalise régulièrement des campagnes de prospection commerciale par voie électronique. Cependant, elle n’a pas été en mesure de fournir d’éléments démontrant qu’elle avait obtenu au préalable un consentement valable des personnes.

Lors des contrôles, la société a fourni à la CNIL deux exemples de formulaires types de collecte de données des prospects mis à sa disposition par ses partenaires commerciaux auprès desquels elle récupère les données.

L’analyse de ces formulaires montrent qu’ils ne comportent aucune information sur l’identité des destinataires auxquels les données sont transmises. Or, pour que le consentement soit éclairé et valable, la liste des partenaires destinataires des données doit être tenue à la disposition des personnes au moment de recueillir leur consentement.

Enfin, les mesures mises en place par la société GROUPE CANAL+ auprès de ses fournisseurs de données pour s’assurer que le consentement a été valablement donné par les personnes avant d’être démarchées étaient insuffisantes.

Des manquements à l’obligation d’information (articles 13 et 14 du RGPD) et au respect de l’exercice des droits (articles 12 et 15 du RGPD)

Les vérifications effectuées par la CNIL ont également permis de mettre en évidence d’autres manquements :

Un manquement à l’obligation d’information des personnes lors de la création d’un compte MyCanal : la politique de confidentialité à laquelle renvoyait le formulaire de collecte lors de la création du compte était imprécise sur les durées de conservation (article 13 du RGPD).

Un manquement à l’obligation d’information les personnes lors des appels de démarchage téléphonique : le prestataire de la société en charge de la prospection téléphonique ne fournissait pas systématiquement toutes les informations exigées par le RGPD.

Un manquement aux obligations relatives aux modalités d’exercice des droits (article 12 du RGPD) : la société n’a notamment pas répondu à certains plaignants dans le délai d’un mois prévu par les textes.

Un manquement à l’obligation de respecter le droit d’accès aux données (article 15 du RGPD). La société n’a pas fait suite à certaines demandes d’accès.

Un manquement à l’obligation d’encadrer les traitements effectués par un sous-traitant par un contrat (article 28.3 du RGPD)

Lors des contrôles, la CNIL a constaté qu’un contrat de sous-traitance ne comportait pas toutes les mentions requises par le RGPD.

Un manquement à l’obligation d’assurer la sécurité des données personnelles (article 32 du RGPD)

La formation restreinte a également retenu un manquement à l’obligation d’assurer la sécurité des données personnelles car le stockage des mots de passe des employés de la société n’était pas suffisamment sécurisé.

Un manquement à l’obligation de notifier à la CNIL une violation de données (article 33 du RGPD)

Les vérifications de la CNIL ont permis de constater l’existence d’une violation de données, qui a rendu accessibles certaines données d’abonnés à d’autres abonnés pendant une durée de 5 heures, et qui n’a pas été notifiée à la CNIL.

Comme on peut le voir dans l'article joint, la prospection illégale et hors des clous n'est pas l'apanage de Canal Plus. Free s'en donne à coeur joie, ces derniers temps.

600 000 euros contre 299 millions de dollars aux USA.

L'amende, qui peut paraitre significative, n'est rien comparée aux montants infligés aux USA:  225 millions de dollars, le record, a été battu en 2023, après une enquête qui a duré près de deux ans. La FCC a collaboré avec l'état de l'Ohio pour attraper des spécialistes qui utilisaient des robocalls.

En France, Futura International a été condamné, après enquête de la DGCCRF, à une amende de 500 000 euros, mais pour non respect de Bloctel.

Joint par nos soins, le groupe n’a pas désiré commenter, notamment le directeur général en charge du commerce, Richard Pinard-Legry. La chaine câblée a fini d'ailleurs par écoeurer certains de ses anciens prestataires en démarchage téléphonique, payés aux résultats et soumis à de sacrés impératifs de résultats.