L'autorité grecque de protection des données a sanctionné un fournisseur d'énergie et ses quatre centres d'appels sous-traitants pour avoir mené des campagnes de prospection téléphonique sous le prétexte d'appels d'information ou d'enquêtes de satisfaction, révélant des défaillances systémiques dans la gestion du consentement, la supervision des sous-traitants et la sécurité des données.

Faits et contexte

L'Autorité de protection des données à caractère personnel (Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα) a publié une décision de sanction à l'encontre de la société d'énergie « Δ.Ε.Η Α.Ε. » (D.E.H.) et de quatre de ses sous-traitants, les sociétés CQS, SERVICE 800 - TELEPERFORMANCE, MEDIATEL et PRELUDE, prononçant des amendes d'un montant total de 730 000 € pour des manquements liés à des campagnes de prospection téléphonique non sollicitée.

L'affaire trouve son origine dans douze plaintes déposées par des abonnés téléphoniques ayant reçu des appels de prospection commerciale de la part de D.E.H. ou de ses partenaires, alors même que certains avaient exprimé leur opposition à de telles communications.

Motifs de la décision

L'autorité a analysé les pratiques de D.E.H. en tant que responsable du traitement et de ses partenaires en tant que sous-traitants, et a identifié plusieurs violations du RGPD et de la législation nationale transposant la directive sur la vie privée et les communications électroniques.

• Violation des règles sur la prospection téléphonique (article 11 de la loi 3471/2006) : L'autorité a jugé que les appels, bien que souvent présentés comme des enquêtes de satisfaction ou des communications informatives sur les factures, avaient en réalité un « caractère mixte ». Ils servaient de prétexte à la promotion de produits et services. En ne respectant pas l'opposition des personnes inscrites sur les listes de numéros exclus (registre d'opposition), les sociétés MEDIATEL et CQS ont enfreint la législation qui impose un système d'opposition (« opt-out ») pour les appels avec intervention humaine.
• Manquement aux principes de traitement des données (article 5 du RGPD) : L'autorité a constaté que D.E.H. et son sous-traitant TELEPERFORMANCE n'avaient pas respecté plusieurs principes fondamentaux. La finalité du traitement était détournée, les appels informatifs se transformant en démarchage commercial, en violation du principe de limitation des finalités (article 5, paragraphe 1, point b). De plus, la politique de confidentialité de D.E.H. était jugée trop générale, manquant de clarté sur les finalités, les périodes de conservation spécifiques (violation du principe de limitation de la conservation, article 5, paragraphe 1, point e) et les mécanismes de mise à jour des données (violation du principe d'exactitude, article 5, paragraphe 1, point d).
• Manquement aux obligations du sous-traitant (articles 28 et 29 du RGPD) : La société PRELUDE a été sanctionnée pour avoir traité des données en dehors des instructions documentées de D.E.H., le responsable du traitement. En déterminant elle-même certains aspects du traitement, elle a outrepassé son rôle de sous-traitant, ce qui engage sa propre responsabilité.
• Manquement à l'obligation de sécurité (article 32 du RGPD) : D.E.H. et l'ensemble de ses sous-traitants (TELEPERFORMANCE, MEDIATEL, PRELUDE) ont été sanctionnés pour ne pas avoir mis en œuvre des mesures techniques et organisationnelles appropriées. L'autorité a relevé des lacunes significatives, notamment l'absence de chiffrement des communications vocales (via SIP-TLS ou SRTP), une protection insuffisante contre les menaces internes, et l'absence de méthodologie définie pour la gestion des sauvegardes. L'autorité a rappelé que, selon les lignes directrices 07/2020 du Comité européen de la protection des données (CEPD), le responsable du traitement doit fournir des instructions claires à ses sous-traitants concernant les mesures de sécurité.

Décision de l'autorité

En conséquence, l'autorité a imposé des amendes administratives d'un montant total de 730 000 €, réparties comme suit :

• Une amende de 420 000 € à l'encontre de D.E.H. S.A., en sa qualité de responsable du traitement.
• Une amende de 100 000 € à l'encontre de MEDIATEL SERVICES D'INFORMATIONS TÉLÉPHONIQUES SOCIÉTÉ ANONYME.
• Une amende de 90 000 € à l'encontre de SERVICE 800 - TELEPERFORMANCE SOCIÉTÉ ANONYME UNIPERSONNELLE DE PRESTATION DE SERVICES.
• Une amende de 80 000 € à l'encontre de PRELUDE GROUP S.E.N.C.
• Une amende de 40 000 € à l'encontre de CQS.

En outre, l'autorité a ordonné à l'ensemble des sociétés de mettre leurs opérations en conformité dans un délai de six mois, notamment en améliorant les procédures techniques de gestion des listes d'opposition, en modifiant les contrats de sous-traitance pour y inclure des garanties suffisantes, et en mettant en place des mécanismes de contrôle et d'audit efficaces.

Enseignements

Cette décision confirme / précise / rappelle que :

• Les appels à « caractère mixte », qui mêlent un motif informationnel ou de service à une finalité promotionnelle, doivent être qualifiés de prospection commerciale et respecter les règles applicables, notamment en matière de gestion de l'opposition.
• Le responsable du traitement a l'obligation de superviser activement ses sous-traitants, notamment en s'assurant par des audits réguliers qu'ils respectent ses instructions et les exigences du RGPD, en particulier la gestion centralisée et à jour des registres d'opposition.
• Les sous-traitants engagent leur propre responsabilité et peuvent être directement sanctionnés pour des manquements à leurs obligations spécifiques, telles que la sécurité du traitement (article 32) ou le respect strict des instructions du responsable du traitement (article 29).
• Les mesures de sécurité doivent être concrètes et adaptées aux risques. Des clauses contractuelles générales sont insuffisantes si elles ne sont pas suivies de l'implémentation de mesures techniques spécifiques comme le chiffrement des communications et des données stockées.
• La gestion des listes d'opposition dans le cadre de campagnes de grande envergure impliquant plusieurs acteurs nécessite un système centralisé, automatisé et mis à jour en temps réel pour garantir l'effectivité du droit des personnes.