La Commission Nationale de l'Informatique et des Libertés (CNIL) a publié une décision de clôture d'injonction à l'encontre de la société SOLOCAL MARKETING SERVICES, qui avait été initialement sanctionnée pour des manquements liés au recueil du consentement pour la prospection commerciale.

Faits et contexte

La Commission Nationale de l'Informatique et des Libertés (CNIL) a publié une décision de clôture d'injonction à l'encontre de la société SOLOCAL MARKETING SERVICES, initialement sanctionnée par une amende de 900 000 € pour des manquements en lien avec le recueil du consentement à la prospection commerciale.

L'affaire trouve son origine dans une décision de sanction de mai 2025, où la CNIL avait constaté que le consentement recueilli par les partenaires de la société pour des opérations de prospection n'était ni libre, ni univoque, en raison de l'apparence trompeuse des formulaires de collecte.

Motifs de la décision

Le manquement initialement retenu par l'autorité concernait la validité du consentement utilisé comme base légale pour les opérations de prospection.

• Obligation de recueillir un consentement valable pour la prospection commerciale : La société acquiert des données auprès de courtiers et d'éditeurs de sites de jeux-concours, qui sont à l'origine de la collecte. La formation restreinte avait jugé que l'apparence trompeuse des formulaires de collecte mis en œuvre par ces partenaires ne permettait pas de recueillir un consentement libre et univoque des personnes, conforme aux exigences du RGPD. En conséquence, les opérations de prospection menées par SOLOCAL MARKETING SERVICES pour le compte de ses clients n'étaient pas fondées sur une base légale valide.

Décision de l'autorité

La décision initiale de mai 2025 avait imposé une amende de 900 000 € à la société SOLOCAL MARKETING SERVICES.

En outre, l'autorité avait ordonné à la société de cesser ses opérations de prospection en l'absence de consentement valable, dans un délai de neuf mois, sous peine d'une astreinte de 10 000 € par jour de retard. La société a justifié avoir mis en place des mesures de contrôle jugées satisfaisantes, incluant une analyse automatisée des formulaires de collecte de ses partenaires complétée par une appréciation humaine. La formation restreinte a donc décidé de clôturer l'injonction et de ne pas exiger le paiement de l'astreinte.

Enseignements

Cette décision rappelle que :

• La mise en place de mécanismes de contrôle des partenaires ne décharge pas le responsable du traitement de sa responsabilité finale quant à la validité du consentement recueilli pour son compte.
• Un processus de vérification de la validité du consentement recueilli par des tiers, combinant une analyse automatisée des formulaires et une appréciation humaine, peut être considéré comme une mesure de mise en conformité satisfaisante par une autorité de contrôle.
• Même après la mise en œuvre de mesures de contrôle, la responsabilité d'un organisme peut être recherchée si des non-conformités persistent et échappent à sa vigilance.