La responsabilité d'un prestataire de services ne peut être écartée en invoquant l'acte isolé d'un distributeur, dès lors que l'envoi de prospection illicite a été réalisé via les ressources de l'entreprise et en l'absence de mécanismes techniques de contrôle efficaces et démontrables.

Faits et contexte

L'autorité espagnole de protection des données (AEPD) a aujourd'hui publié une décision de sanction à l'encontre de VODAFONE ESPAÑA, S.A.U. (comprenant le prononcé d'une amende de 4 000 €, réduite à 3 200 € après paiement volontaire) pour des manquements en lien avec l'envoi de communications commerciales non sollicitées.

L'affaire trouve son origine dans la plainte d'une personne ayant reçu, le 11 août 2025, un message commercial par messagerie instantanée de la part d'un point de vente Vodafone, alors qu'elle n'y avait pas consenti et était inscrite sur la liste d'opposition Robinson.

Motifs de la décision

L'autorité a retenu un manquement à la législation sur les services de la société de l'information, qui transpose la directive sur la vie privée et les communications électroniques :

• Obligation d'obtenir un consentement préalable à la prospection électronique (article 21, paragraphe 1, de la loi 34/2002 sur les services de la société de l'information et le commerce électronique - LSSI) : L'autorité a constaté qu'une communication commerciale avait été envoyée au plaignant sans son autorisation préalable et en dépit de son inscription sur une liste d'opposition. Vodafone a soutenu qu'il s'agissait d'une initiative ponctuelle et non autorisée d'un employé d'une boutique, contrevenant aux instructions internes. L'AEPD a rejeté cet argument, estimant que la communication a été émise depuis un numéro de téléphone appartenant à Vodafone et dans le cadre de son réseau commercial. L'autorité a souligné que l'existence de politiques internes ou de clauses contractuelles interdisant de telles pratiques est insuffisante si l'entreprise ne peut pas prouver la mise en place de mécanismes techniques et organisationnels efficaces pour empêcher activement l'envoi de communications non autorisées, notamment par des vérifications préalables automatisées ou des audits. L'absence de tels contrôles effectifs a été qualifiée de défaillance organisationnelle engageant la responsabilité de l'entreprise.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 4 000 € à VODAFONE ESPAÑA, S.A.U., ramenée à 3 200 € suite au paiement volontaire de la société, qui emporte reconnaissance de sa responsabilité.

Enseignements

Cette décision rappelle que :

• La responsabilité d'une entreprise est engagée pour les actions de prospection illicite menées par ses employés ou son réseau de distribution, même si celles-ci contreviennent aux instructions internes, dès lors qu'elles sont réalisées avec les moyens de l'entreprise.
• L'existence de politiques internes ou de clauses contractuelles n'est pas une défense suffisante si l'entreprise ne peut pas démontrer l'existence de mesures techniques et organisationnelles efficaces et vérifiables pour prévenir les manquements.
• L'absence de systèmes de contrôle préventifs, tels que le blocage automatique des envois vers des numéros inscrits sur des listes d'opposition, peut être qualifiée de défaillance organisationnelle imputable au responsable du traitement.
• La charge de la preuve de l'efficacité des mesures de conformité mises en place incombe à l'organisme mis en cause.