L'Autorité de protection des données belge a validé une procédure à l'amiable avec une entreprise du secteur du divertissement, incluant le paiement de 5 000 €, suite à une plainte concernant l'envoi de prospection commerciale non sollicitée. La décision aborde les manquements liés à la transparence de l'information, à l'exercice du droit d'opposition et à la limitation de la conservation des données.

Faits et contexte

L'Autorité de protection des données (APD) a aujourd'hui publié une décision de règlement à l'amiable à l'encontre d'une entreprise du secteur du divertissement, comprenant le paiement d'une somme de 5 000 €, pour des manquements liés à la prospection commerciale, à la transparence et à la conservation des données.

L'affaire trouve son origine dans la plainte d'une personne ayant reçu plusieurs courriels de prospection commerciale non sollicités après l'achat d'un billet auprès du responsable du traitement.

Motifs de la décision

Dans le cadre de la procédure de règlement à l'amiable, les manquements suivants ont été reconnus par le responsable du traitement :

• Obligation de loyauté et de transparence (article 5, paragraphe 1, point a) du RGPD) : L'autorité a relevé que le site internet du responsable du traitement indiquait que la vente de billets s'effectuait exclusivement en ligne, alors que des achats étaient également possibles sur place. Cette information incorrecte a été considérée comme un manquement au principe de transparence, car elle induisait les personnes concernées en erreur sur les modalités de collecte de leurs données.
• Obligation de garantir un droit d'opposition simple et efficace : La décision a mis en évidence des lacunes dans la manière dont les personnes pouvaient s'opposer à la prospection commerciale, en violation de l'article XII.13 du Code de droit économique belge transposant la directive vie privée et communications électroniques. Le règlement à l'amiable impose au responsable du traitement de fournir la preuve de la mise en œuvre d'une mesure corrective dans un délai de 30 jours.
• Obligation de licéité du traitement et de limitation de la conservation (article 6 et article 5, paragraphe 1, point e) du RGPD) : L'autorité a examiné la licéité du profilage réalisé à des fins de prospection sur la base des données d'achat historiques, en s'appuyant sur la nécessité contractuelle (article 6, paragraphe 1, point b)) et l'intérêt légitime (article 6, paragraphe 1, point f)). En lien avec ce traitement, le responsable du traitement s'est engagé à réduire sa durée de conservation des données pour les clients inactifs de cinq à trois ans, afin de se conformer au principe de limitation de la conservation.

Décision de l'autorité

En conséquence, l'autorité a validé le règlement à l'amiable prévoyant le paiement d'une somme de 5 000 € par le responsable du traitement.

En outre, l'autorité a ordonné au responsable du traitement de mettre en œuvre plusieurs mesures correctives dans le cadre de l'accord, notamment : la mise en conformité de son mécanisme d'opposition à la prospection commerciale dans un délai de 30 jours, et l'application de sa nouvelle politique de conservation des données, incluant la suppression ou l'anonymisation des données excédentaires, dans un délai de quatre mois.

Enseignements

Cette décision rappelle que :

• Toute information communiquée aux personnes concernées, y compris sur les canaux de collecte des données, doit être scrupuleusement exacte et complète pour respecter le principe de transparence.
• Le mécanisme permettant de s'opposer à la prospection commerciale doit être non seulement disponible, mais également simple et efficace pour l'utilisateur, sans nécessiter de démarches complexes.
• La durée de conservation des données doit être proportionnée à la finalité du traitement, et une politique de conservation différenciée, par exemple pour les clients actifs et inactifs, constitue une bonne pratique pour respecter le principe de limitation de la conservation.
• La procédure de règlement à l'amiable peut constituer une voie de résolution efficace pour les autorités de contrôle, combinant une compensation financière et des mesures correctives contraignantes et rapides.