L'Autorité pour la protection des données personnelles (GPDP) a publié une décision de sanction à l'encontre de Nuova Corrente S.r.l., comprenant le prononcé d'une amende de 15 000 €, pour des manquements liés à la prospection commerciale, à la gestion de ses sous-traitants et au respect des droits des personnes. Cette affaire débute par une plainte d'une personne se plaignant d'avoir reçu deux appels promotionnels au nom de la société, dont un à caractère trompeur, et de l'absence de réponse à sa demande d'accès.

L’enquête menée par l’autorité a permis de constater :

* Obligation de licéité du traitement et conditions applicables au consentement (articles 5, 6 et 7 du RGPD) : La société a effectué des traitements de données sans base juridique valable. Elle a fourni des informations contradictoires et non probantes sur l'origine des données de la plaignante, citant d'abord un site web aux formulaires de consentement jugés non conformes (manque de granularité et de clarté sur les destinataires), puis une campagne sur les réseaux sociaux sans lien avéré avec ses activités. De plus, l'opérateur disposait de données (codes de point de livraison, coordonnées bancaires) dont la collecte n'était pas justifiée par les sources invoquées, et la société n'a pas pu démontrer l'obtention d'un consentement valide.

* Obligation de responsabilité du responsable du traitement et relations avec les sous-traitants (articles 5, 24 et 28 du RGPD) : Il est reproché à la société de ne pas avoir respecté le principe de responsabilité, notamment dans la gestion de sa chaîne de traitement. Elle a entièrement délégué l'acquisition des contacts à son agence sans définir de critères de sélection des fournisseurs de listes ni effectuer de contrôles effectifs sur la licéité de la collecte. L'enquête a révélé une absence de surveillance de son sous-traitant, dont l'acte de nomination était par ailleurs non conforme, et une incapacité à garantir que le traitement était effectué conformément à ses instructions.

* Obligation de faciliter l'exercice des droits des personnes concernées (article 12 et articles 15 à 22 du RGPD) : La société n'a pas répondu à la demande d'exercice de droits de la plaignante dans les délais légaux, et ce n'est qu'après l'intervention de l'autorité qu'une réponse a été fournie. L'argument selon lequel la demande a été envoyée à une adresse électronique non dédiée a été rejeté, l'autorité rappelant que le responsable du traitement doit traiter les demandes quel que soit le canal de réception. L'absence de mesures internes appropriées pour gérer ces demandes a été constatée.

En conséquence, l’autorité a imposé une amende de 15 000 € à Nuova Corrente S.r.l. .

En outre, l’autorité a ordonné la publication de sa décision.