L'autorité italienne de protection des données (GPDP) a aujourd'hui publié une décision de sanction à l'encontre de TIM S.p.A. (comprenant le prononcé d'une amende de 9 516 000 €) pour des manquements systémiques liés à des campagnes de télémarketing illicites et à la gestion des droits des personnes concernées.

Faits et contexte

L'affaire trouve son origine dans une inspection initiée par l'autorité, notamment suite à de nombreuses plaintes et signalements dénonçant des appels promotionnels non sollicités passés pour le compte de TIM par des centres d'appels non officiels.

Ces derniers utilisaient des techniques d'usurpation du numéro de l'appelant (« spoofing ») pour contacter des personnes, y compris celles inscrites au Registre Public des Oppositions (RPO), afin de leur proposer des services TIM. Pour masquer l'origine illicite du contact, les opérateurs incitaient les personnes intéressées à cliquer sur un lien reçu par message, générant ainsi une demande de rappel (« lead ») prétendument spontanée, qui était ensuite traitée par le réseau de vente officiel de TIM comme une démarche légitime.

Motifs de la décision

• Obligation de protection des données dès la conception (article 25 du RGPD) : L'autorité a constaté que les formulaires en ligne de TIM et de ses partenaires pour la collecte de prospects ne comportaient aucun mécanisme de vérification de la titularité réelle des numéros de téléphone fournis. Le système de confirmation par exclusion (« opt-out ») par message texte, mis en place en cours de procédure, a été jugé inadéquat car il inverse la logique du consentement en exigeant une action de la personne pour refuser un traitement non sollicité, en violation du considérant 32 du RGPD. L'autorité a estimé qu'une procédure de confirmation préventive par inclusion (« opt-in ») était nécessaire pour garantir la conformité.
• Obligation de licéité du traitement (articles 5, 6 et 7 du RGPD) : L'autorité a jugé que les contacts promotionnels étaient effectués sans base juridique valable. Les partenaires de TIM réalisaient un premier contact illicite, puis incitaient la personne à cliquer sur un lien pour générer une demande de rappel prétendument spontanée. L'autorité a estimé que ce consentement ultérieur ne pouvait « nettoyer » l'illicéité du contact initial, le traitement débutant dès la première interaction non autorisée.
• Obligation de responsabilité du responsable du traitement (article 5, paragraphe 2, 24 et 28 du RGPD) : L'autorité a rejeté l'argument de TIM selon lequel les manquements provenaient de tiers incontrôlables. Elle a retenu une faute dans le choix (« culpa in eligendo ») et dans la surveillance (« culpa in vigilando ») de ses partenaires. Les anomalies statistiques flagrantes (nombre de contacts très supérieur aux prospects déclarés, taux de conversion extrêmement faibles) auraient dû alerter TIM et déclencher des contrôles, démontrant une défaillance de ses obligations de surveillance de l'ensemble de la chaîne de traitement. L'adhésion à un code de conduite, bien que constituant un facteur atténuant, ne dispense pas le responsable du traitement de démontrer l'efficacité concrète de ses mesures, comme le rappellent les lignes directrices 1/2019 du Comité Européen de la Protection des Données (CEPD).
• Obligation de sécurité du traitement (article 32 du RGPD) : Les mesures de sécurité des systèmes de collecte des consentements et de chargement des commandes ont été jugées insuffisantes. L'architecture informatique permettait l'intégration de données dont l'origine était illicite, sans dispositifs de blocage ou d'alerte efficaces face à des flux de données manifestement anormaux.
• Obligation de respecter les droits des personnes concernées (article 12 et articles 15 à 22 du RGPD) : L'autorité a constaté des manquements systémiques dans la gestion des demandes d'exercice de droits, incluant des retards importants (jusqu'à 120 jours), des réponses incomplètes ou des absences de réponse. De plus, les procédures de retrait du consentement étaient jugées excessivement complexes (exigeant une authentification sur un espace client), en violation du principe selon lequel le retrait doit être aussi simple que le don du consentement (article 7, paragraphe 3, du RGPD).

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 9 516 000 € à TIM S.p.A.

En outre, l'autorité a ordonné à TIM S.p.A. de mettre en conformité ses procédures de collecte de prospects en instaurant un mécanisme de vérification de l'identité de la personne, de renforcer les mesures de contrôle et de surveillance de ses partenaires commerciaux, et d'adapter ses processus pour garantir une réponse rapide et efficace aux demandes d'exercice de droits.

Enseignements

Cette décision rappelle que :

• le consentement obtenu à l'issue d'un premier contact illicite ne peut « régulariser » a posteriori l'ensemble de la chaîne de traitement, la violation étant consommée dès la première opération non autorisée.
• le responsable du traitement a une obligation de surveillance active (« culpa in vigilando ») sur l'ensemble de la filière de ses sous-traitants, qui ne peut se limiter à un contrôle formel ou documentaire.
• des anomalies statistiques manifestes (par exemple, un volume de contacts très supérieur au nombre de prospects générés) constituent des indices de non-conformité qui doivent déclencher des audits approfondis.
• un mécanisme de confirmation par exclusion (« opt-out ») pour vérifier une demande de contact est insuffisant ; la protection des données dès la conception impose un système de double confirmation par inclusion (« opt-in ») pour s'assurer de la volonté réelle du titulaire de la ligne.
• l'adhésion à un code de conduite ne constitue pas une présomption irréfragable de conformité et ne dispense pas le responsable du traitement de son obligation de démontrer l'efficacité concrète de ses mesures.