L'autorité italienne de protection des données (GPDP) sanctionne un fournisseur d'énergie pour des pratiques de télémarketing illicites, soulignant la responsabilité du responsable du traitement pour l'ensemble de la chaîne de traitement, y compris la sélection et la surveillance rigoureuse de ses partenaires commerciaux agissant en tant que sous-traitants.

Faits et contexte

L'autorité italienne de protection des données (GPDP) a aujourd'hui publié une décision de sanction à l'encontre de la société Energia Sostenibile S.r.l., comprenant le prononcé d'une amende de 100 000 €, pour des manquements en lien avec des campagnes de télémarketing illicites et une gestion défaillante de sa relation avec ses sous-traitants.

L'affaire trouve son origine dans une plainte et plus de trente signalements concernant des appels non sollicités, y compris sur des numéros inscrits au Registre Public des Oppositions (RPO), et des réponses inadaptées aux demandes d'exercice de droits.

Motifs de la décision

• Obligation de licéité, loyauté et transparence des traitements (articles 5, 6, 7 et 13 du RGPD) : L'autorité a jugé que les campagnes de télémarketing, menées avec des méthodes trompeuses et contactant des numéros inscrits au Registre Public des Oppositions, étaient dépourvues de base juridique valable. Elle a rejeté la défense de la société qui niait être à l'origine des appels, considérant qu'elle était la bénéficiaire finale et donc le véritable commanditaire. De plus, le formulaire de contact du site web ne permettait pas de recueillir un consentement libre, spécifique et éclairé pour le marketing et le profilage, et l'information fournie était incomplète.
• Obligation de responsabilité et de gestion des sous-traitants (articles 5, 24 et 28 du RGPD) : L'autorité a conclu que la société n'avait pas respecté ses obligations de responsabilité, notamment en n'encadrant pas formellement la relation avec l'un de ses partenaires par un contrat de sous-traitance conforme à l'article 28. Se référant aux Lignes directrices 07/2020 du Comité Européen de la Protection des Données (CEPD) sur les concepts de responsable du traitement et de sous-traitant, elle a estimé que la nature des services confiés qualifiait le partenaire de sous-traitant. L'autorité a également constaté une défaillance dans la sélection (culpa in eligendo) et la surveillance (culpa in vigilando) de ses partenaires, les audits présentés étant jugés tardifs et insuffisants pour prouver un contrôle effectif et continu.
• Obligation de faciliter l'exercice des droits des personnes concernées (articles 12 et 15 du RGPD) : La réponse fournie à une demande d'accès a été jugée inadéquate, car elle manquait de transparence et n'était pas exhaustive, la société ayant initialement imputé la responsabilité du contact à son réseau de vente sans fournir de détails clairs. Ce comportement, contraire au principe de facilitation de l'exercice des droits rappelé par le considérant 58 du RGPD, a été considéré comme une violation.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 100 000 € à Energia Sostenibile S.r.l..

En outre, l'autorité a ordonné à la société d'adopter des mesures pour garantir la licéité de l'ensemble de sa filière de traitement, de s'assurer que ses sous-traitants présentent des garanties suffisantes et de mettre en place une surveillance effective de leurs activités.

Enseignements

Cette décision confirme que :

• Le bénéficiaire final d'une campagne de télémarketing est considéré comme le responsable du traitement, même en cas d'externalisation complète et de dénégation des contacts, et doit répondre de la licéité de toute la filière.
• La sélection d'un sous-traitant (culpa in eligendo) ne peut reposer sur des critères informels ; elle exige une évaluation préalable et documentée des garanties techniques et organisationnelles qu'il présente, notamment en matière de protection des données.
• La surveillance des sous-traitants (culpa in vigilando) doit être un processus continu et proactif, démontré par des audits réguliers et substantiels, et non par des contrôles ponctuels ou réactifs menés uniquement en réponse à une enquête de l'autorité.
• Face à une demande d'exercice de droits concernant un traitement effectué par un partenaire, le responsable du traitement ne peut se contenter de renvoyer vers ce dernier mais doit fournir une réponse transparente, complète et faciliter activement l'exercice des droits.