L'envoi de communications promotionnelles à des adresses de messagerie électronique certifiée, extraites de registres professionnels publics, constitue un traitement de données illicite en l'absence de consentement préalable des personnes concernées, la finalité de ces registres n'étant pas commerciale.

Faits et contexte

L'autorité de protection des données italienne, le Garant pour la protection des données personnelles (GPDP), a publié une décision de sanction à l'encontre de Mesprofessionnels.it S.r.l. pour des manquements en lien avec l'envoi de communications promotionnelles non sollicitées.

L'affaire trouve son origine dans six plaintes et signalements distincts concernant la réception de courriels promotionnels non sollicités sur des adresses de messagerie électronique certifiée.

Motifs de la décision

• Obligation de disposer d'une base juridique valide pour la prospection commerciale (articles 6 et 7 du RGPD, et article 130 du Code de la protection des données italien) : L'autorité a constaté que la société avait envoyé des communications non sollicitées à des professionnels en utilisant leurs adresses de messagerie électronique certifiée, collectées manuellement depuis des registres professionnels publics. Elle a rejeté l'argument de la société selon lequel ces messages étaient purement informatifs, soulignant que leur contenu, qui incluait une invitation à s'inscrire à une plateforme avec une offre de bon d'achat et une promotion limitée dans le temps, était sans équivoque de nature commerciale. Le GPDP a rappelé que la disponibilité publique d'une donnée personnelle ne la rend pas librement utilisable pour des finalités incompatibles avec celles pour lesquelles elle a été publiée ; en l'espèce, les registres professionnels visent à faciliter les communications institutionnelles et non la prospection commerciale. L'autorité s'est appuyée sur ses Lignes directrices du 4 juillet 2013 en matière d'activité promotionnelle et de lutte contre le pollupostage, qui précisent que l'utilisation des adresses de messagerie électronique certifiée de l'index national à des fins promotionnelles est illicite sans consentement préalable.
• Obligation de répondre aux demandes d'exercice de droits (articles 12 et 15 du RGPD) : L'autorité a également confirmé que la société n'avait pas répondu à la demande d'accès formulée par l'un des plaignants. La société n'a fourni aucune justification pour cette omission au cours de la procédure, ce qui a conduit à la constatation d'une violation des obligations relatives à la gestion des droits des personnes concernées.

Décision de l'autorité

En conséquence, l'autorité a constaté l'illicéité des traitements mis en œuvre par Mesprofessionnels.it S.r.l. et, en plus d'avoir prononcé une amende de 1000 euros, a procédé à la détermination des mesures correctrices à imposer, en tenant compte de circonstances atténuantes telles que l'absence de préjudice concret démontré et l'absence de violations antérieures.

Enseignements

Cette décision rappelle que :

• La disponibilité publique d'une donnée à caractère personnel, comme une adresse de messagerie dans un registre professionnel, n'autorise pas sa réutilisation pour des finalités incompatibles, telle que la prospection commerciale, sans base juridique appropriée.
• La qualification d'une communication (informative ou promotionnelle) dépend de son contenu objectif et non de l'intention déclarée par l'expéditeur ; l'offre d'incitations financières ou de promotions à durée limitée caractérise une communication commerciale.
• La suppression immédiate des données après un traitement illicite, comme l'envoi d'un courriel sans consentement, n'annule pas la violation initialement commise.