L'autorité espagnole sanctionne une société pour prospection téléphonique non sollicitée, rappelant que l'acquisition de données auprès d'un tiers n'exonère pas le responsable de traitement de sa propre obligation de vérifier la validité du consentement et de fournir l'information requise par le RGPD.

Faits et contexte

L'autorité espagnole de protection des données (AEPD) a aujourd'hui publié une décision de sanction à l'encontre de MÁS SOL ENERGÍA 15, S.L. (comprenant le prononcé d'une amende de 10 000 €) pour des manquements en lien avec la prospection commerciale téléphonique et l'obligation d'information.

L'affaire trouve son origine dans la plainte d'une personne physique ayant reçu un appel commercial non sollicité le 18 novembre 2024, alors qu'elle était inscrite sur la liste d'opposition au démarchage téléphonique.

Motifs de la décision

• Absence de base juridique pour la prospection commerciale (article 6 du RGPD et article 66.1.b de la Loi Générale sur les Télécommunications) : L'autorité a constaté que la société ne pouvait pas démontrer avoir obtenu un consentement valable de la part du plaignant pour recevoir des appels commerciaux. Les éléments fournis, tels qu'un formulaire générique et un enregistrement technique sans lien probant avec la personne concernée, ont été jugés insuffisants pour prouver un consentement libre, spécifique, éclairé et univoque. L'AEPD a souligné que la charge de la preuve du consentement incombe au responsable du traitement, même lorsque les données sont acquises auprès d'un fournisseur tiers, et que le simple fait d'accepter les fichiers de ce dernier sans vérification ne satisfait pas à cette exigence.
• Manquement à l'obligation d'information (article 14 du RGPD) : Les données personnelles du plaignant ayant été obtenues par l'intermédiaire d'un fournisseur externe, la société était tenue de lui fournir les informations prévues à l'article 14 du RGPD, notamment la source des données. L'autorité a relevé que cette information n'avait pas été communiquée au plaignant, ni dans un délai raisonnable après l'obtention des données, ni lors du premier contact téléphonique, le privant ainsi de la possibilité d'exercer efficacement ses droits.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 10 000 € à MÁS SOL ENERGÍA 15, S.L., se décomposant en 5 000 € pour la violation de la législation sur les télécommunications et 5 000 € pour le manquement à l'article 14 du RGPD.

Enseignements

Cette décision rappelle que :

• La charge de la preuve d'un consentement valable incombe toujours au responsable du traitement, qui doit être en mesure de démontrer activement sa validité.
• L'acquisition de bases de données auprès de fournisseurs tiers n'exonère pas le responsable du traitement de son obligation de vérifier la validité du consentement recueilli par ce fournisseur ; il ne peut se contenter d'accepter les fichiers sans diligences propres.
• La simple fourniture d'un enregistrement technique (comme une adresse IP) et d'un formulaire type non rempli est insuffisante pour prouver qu'une personne spécifique a donné son consentement de manière univoque.
• Lorsqu'un traitement est fondé sur des données non collectées directement auprès de la personne concernée, l'obligation d'information de l'article 14 du RGPD doit être scrupuleusement respectée, notamment en ce qui concerne la mention de la source des données.