L'autorité italienne sanctionne une société pour avoir utilisé des données de contact acquises via une plateforme tierce à des fins de prospection commerciale, sans avoir vérifié l'existence d'une base juridique valide et sans avoir informé les personnes concernées.

Faits et contexte

L'autorité italienne de protection des données (Garant pour la protection des données personnelles - GPDP) a publié une décision de sanction à l'encontre de la société FeGi M&A Services s.r.l., comprenant le prononcé d'une amende de 1 000 €, pour des manquements en lien avec la prospection commerciale par téléphone.

La procédure a été initiée suite au signalement d'une personne ayant reçu un appel promotionnel de la société, qui a admis avoir obtenu son numéro de téléphone via un module d'extension de la plateforme Lusha sur le réseau social professionnel LinkedIn.

Motifs de la décision

L'autorité a retenu deux manquements principaux à l'encontre de la société :

• Obligation de licéité du traitement (article 5, paragraphe 1, point a) du RGPD et article 130 du Code de la protection des données italien) : La société a effectué des traitements à des fins de prospection commerciale (environ 700 numéros de téléphone et 400 adresses électroniques acquis) sans disposer d'une base juridique appropriée. L'autorité rappelle que la prospection par téléphone est soumise à un régime de consentement préalable en vertu de la législation italienne transposant la directive sur la vie privée et les communications électroniques. L'autorité souligne que le fait de se fier aux garanties formelles offertes par un fournisseur de données tiers (Lusha) n'exonère pas le responsable du traitement de sa propre responsabilité, en vertu du principe de responsabilité. Il lui incombait de vérifier activement la licéité de la source des données et de s'assurer de l'existence d'un consentement valable pour la prospection par des tiers, ainsi que de consulter le registre public d'opposition avant de lancer sa campagne. L'autorité cite à cet égard ses lignes directrices de 2013 sur les activités promotionnelles et son code de conduite de 2024 pour le télémarketing.
• Obligation d'information des personnes concernées (article 14 du RGPD) : En collectant des données personnelles de manière indirecte, la société n'a pas fourni aux personnes concernées les informations requises par le RGPD. L'autorité précise que, conformément à l'article 14, paragraphe 3, du RGPD, cette information aurait dû être communiquée au plus tard au moment de la première communication avec la personne concernée, ce qui n'a pas été fait dans le cas du plaignant. Ce manquement constitue une violation du principe de transparence.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 1 000 € à FeGi M&A Services s.r.l.

En outre, l'autorité a ordonné l'interdiction de tout traitement ultérieur des données personnelles collectées sans base juridique valide ainsi que leur effacement.

Enseignements

Cette décision rappelle que :

• Le principe de responsabilité impose au responsable du traitement qui acquiert des données auprès d'un tiers de vérifier activement la licéité de la collecte initiale et la validité de la base juridique pour leur réutilisation, notamment à des fins de prospection.
• Se fier aux garanties contractuelles ou à la notoriété d'un fournisseur de listes de contacts est insuffisant et ne constitue pas une défense valable en cas de traitement illicite.
• La prospection par voie électronique, y compris téléphonique, est soumise à des règles spécifiques (découlant de la directive "vie privée et communications électroniques") qui exigent un consentement préalable, sauf exceptions strictement encadrées.
• Lorsqu'un responsable de traitement collecte des données indirectement, il doit fournir les informations de l'article 14 du RGPD à la personne concernée au plus tard lors de la première communication avec elle.