L'autorité italienne de protection des données (GPDP) a sanctionné un sous-traitant pour avoir effectué une prospection téléphonique illicite pour le compte d'un fournisseur d'énergie, utilisé un sous-traitant ultérieur sans autorisation et mal géré une demande d'exercice de droits, lui infligeant une amende de 15 300 €.

Faits et contexte

L'autorité italienne de protection des données (GPDP) a aujourd'hui publié une décision de sanction à l'encontre de Green Partner S.r.l.s. (comprenant le prononcé d'une amende de 15 300 €) pour des manquements en lien avec la prospection commerciale illicite, la sous-traitance non autorisée et la gestion des demandes de droits des personnes concernées.

L'affaire trouve son origine dans la plainte d'une personne ayant reçu un appel et un courriel promotionnels pour le compte de la société Sorgenia S.p.A., alors que son numéro était inscrit sur le Registre Public des Oppositions (RPO).

Motifs de la décision

• Obligation de licéité du traitement (articles 5, 6 et 7 du RGPD) : L'autorité a constaté que l'appel promotionnel avait été réalisé en l'absence de toute base juridique valable. La société a tenté de justifier le contact par une erreur de composition manuelle d'un numéro, mais cette explication a été jugée non probante et contradictoire, notamment car la société avait initialement nié être à l'origine de l'appel. De plus, l'offre commerciale envoyée par courriel était destinée à un usage domestique, alors que le numéro que la société prétendait vouloir joindre appartenait à un établissement de nuit, ce qui a renforcé le manque de crédibilité de sa défense.
• Obligations du sous-traitant (article 28 du RGPD) : L'autorité a relevé une double violation. D'une part, la société a eu recours à un sous-traitant ultérieur (Vanille Service S.r.l.s.) pour réaliser l'appel litigieux sans l'autorisation écrite préalable du responsable de traitement (Sorgenia). D'autre part, l'encadrement contractuel entre le responsable de traitement et le sous-traitant était contradictoire et obsolète, créant une confusion sur les rôles et responsabilités de chacun, ce qui, selon l'autorité, démontre un manquement du sous-traitant à son devoir d'information et de conseil vis-à-vis du responsable de traitement concernant des instructions potentiellement non conformes. L'autorité s'est appuyée sur les Lignes directrices 07/2020 du Comité Européen de la Protection des Données (CEPD) pour rappeler que la qualification des acteurs dépend de leur influence réelle sur les finalités et les moyens essentiels du traitement.
• Obligations relatives à l'exercice des droits (articles 12 et 15 à 22 du RGPD) : La société a fourni une réponse inappropriée à la demande d'exercice de droits du plaignant. Elle a affirmé avoir initialement considéré la demande comme une tentative de fraude, en raison d'une demande d'indemnisation jointe, et a donc nié toute implication. L'autorité a jugé cette justification irrecevable, estimant que la société n'avait pas procédé aux vérifications élémentaires qui lui auraient permis de confirmer l'authenticité de la demande et a ainsi manqué à son obligation de faciliter l'exercice des droits de la personne concernée.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 15 300 € à Green Partner S.r.l.s.

En outre, l'autorité a ordonné à la société d'adopter des mesures adéquates pour garantir que le recours à d'éventuels sous-traitants ultérieurs s'effectue dans le plein respect de la réglementation en matière de protection des données.

Enseignements

Cette décision confirme / précise / rappelle que :

• La qualification de responsable du traitement ou de sous-traitant découle des rôles factuels exercés, comme le rappellent les lignes directrices 07/2020 du CEPD ; un contrat qualifiant les parties de responsables de traitement autonomes ne prévaut pas si, en pratique, l'une agit sur instruction de l'autre.
• Le recours à un sous-traitant ultérieur requiert impérativement l'autorisation écrite, spécifique ou générale, du responsable du traitement et doit être encadré par un contrat imposant les mêmes obligations que celles liant le sous-traitant initial au responsable du traitement.
• Un sous-traitant a l'obligation d'informer le responsable du traitement si une instruction lui paraît constituer une violation du RGPD, ce qui inclut l'utilisation d'une documentation contractuelle obsolète ou contradictoire.
• Une demande d'exercice de droits, même si elle est assortie d'une demande d'indemnisation, doit être traitée avec sérieux et ne peut être écartée comme frauduleuse sans une vérification raisonnable de son authenticité.
• L'invocation d'une "erreur matérielle" pour justifier un contact illicite n'est crédible que si elle est étayée par des éléments probants et n'est pas contredite par les déclarations antérieures de la société.