Deux sociétés proposent des services de voyance à distance, par téléphone pour l’une, et par chat et SMS pour l’autre.

Suite à des contrôles de la CNIL en 2021, plusieurs manquements en violation avec les obligations au regard des données personnelles ont été constatés.

• Un manquement à l’obligation de minimiser les données personnelles collectées et utilisées (article 5-1-c du RGPD)

Une des sociétés enregistrait systématiquement l’intégralité des appels téléphoniques passés entre les voyants, les clients et les standardistes pour contrôler la qualité du service et pour la formation, pour démontrer la souscription et la bonne exécution du contrat, pour répondre aux réquisitions judiciaires et enfin, à des fins de sauvegarde de la vie humaine.

La formation restreinte de la CNIL a considéré que ces finalités ne justifiaient pas d’enregistrer l’ensemble des appels de manière intégrale et systématique.

Les enregistrements devaient être limités, d’une part, à un échantillon de conversations permettant de contrôler la qualité du service et d’assurer la formation des salariés et, d’autre part, aux appels passés entre les standardistes et les clients ou prospects pour la seule partie portant clairement sur la conclusion du contrat.

• Un manquement à l’obligation de définir une durée de conservation proportionnée à la finalité du traitement (article 5-1-e du RGPD)

Une société conservait les données de ses clients pendant une durée de six ans à compter de la fin de la relation commerciale pour pouvoir envoyer des messages de prospection commerciale.

Pour une telle finalité, la CNIL recommande une durée de conservation limitée à trois ans, la société n’a pas démontré la nécessité de conserver les données deux fois plus longtemps.

L’autre société conservait les données de ses clients en base active pendant une durée de six ans, sans restreindre l’accès à ces données et sans opérer aucun tri.

La CNIL a rappelé que si certaines données clients pouvaient être conservées à l’issue de la relation commerciale (par exemple pour des finalités contentieuses ou précontentieuses), il appartenait à la société d’effectuer un tri parmi ces données, pour ne conserver que celles nécessaires pour ces finalités, et d’en limiter l’accès, en procédant à leur archivage intermédiaire. 

• Un manquement à l’obligation de recueillir le consentement préalable à la collecte de catégories particulières de données (article 9 du RGPD)

Lors des consultations par téléphone, chat ou SMS, les clients pouvaient être amenés à communiquer des données relatives à leur orientation sexuelle ou à leur vie sexuelle, à leurs convictions religieuses ou encore à leur état de santé.

De plus les internautes pouvaient remplir un formulaire ayant pour objet de délivrer une prédiction sur leur compatibilité amoureuse avec une personne de leur choix, permettant ainsi d’en déduire leur orientation sexuelle. 

La CNIL a rappelé que la simple volonté de recevoir des prestations de voyance et de livrer spontanément des informations sensibles ne pouvait être considérée comme un consentement explicite. Les sociétés auraient dû également fournir une information spécifique concernant la collecte de ces données sensibles.

• Un manquement à l’obligation de recueillir le consentement des personnes à recevoir de la prospection commerciale par voie électronique (article L.34-5 du CPCE)

Pour réaliser leurs campagnes de démarchage par mail et SMS, les sociétés contrôlées disposaient d’une base de données commune regroupant l’ensemble des données de leurs clients et prospects.

La CNIL a considèré que l’apparence de ces formulaires ne permettait pas aux personnes concernées d’être clairement informées que leurs données pourraient être utilisées indifféremment par l’une ou l’autre de ces sociétés.

Ces sociétés ont été condamnés respectivement à une amende de 250 000 euros pour l’une et à 150 000 euros pour l’autre.

Délibération de la formation restreinte n°SAN-2024-014 du 26 septembre 2024 concernant la société COSMOSPACE

Délibération de la formation restreinte n°SAN-2024-015 du 26 septembre 2024 concernant la société TELEMAQUE

Nathalie Bastid – Avocate associée
Pour plus d’informations, vous pouvez la contacter nathalie.bastid@avocat.fr 06.09.68.51.54