L'autorité grecque sanctionne une société et ses sous-traitants pour des manquements en lien avec de la prospection commerciale par téléphone
L'Autorité de protection des données à caractère personnel a publié une décision de sanction à l'encontre de la société HERON SOCIÉTÉ ANONYME DE SERVICES ÉNERGÉTIQUES (HERON), comprenant le prononcé d'une amende de 115 000 €, pour des manquements liés à la prospection commerciale par téléphone et au contrôle de ses sous-traitants.
Cette affaire débute par de nombreuses plaintes de la part d'abonnés téléphoniques concernant des appels de prospection commerciale pour les produits et services de la société HERON.
L’enquête menée par l’autorité a permis de constater :
* Obligation de sécurité du traitement (article 32 du RGPD) : La société n'a pas mis en place de mesures suffisantes pour contrôler ses sous-traitants. Il a été constaté qu'elle ne vérifiait pas efficacement les processus d'intégration du registre d'opposition « Opt-out » par ses centres d'appels partenaires, ni ne disposait de procédures écrites à cet effet. De plus, le contrôle des numéros de téléphone utilisés par ses partenaires reposait uniquement sur des déclarations datant de plusieurs années après la signature des contrats, et la société a elle-même reconnu des erreurs techniques et humaines ayant conduit à des appels illicites.
En conséquence, l’autorité a imposé une amende de 115 000 € à HERON.
En outre, l’autorité a ordonné à la société d'élaborer, sous six mois, une procédure de contrôle de ses centres d'appels partenaires prévoyant au moins un audit annuel, et d'améliorer ses processus internes pour prévenir de futures erreurs.
Dans la même affaire, l'Autorité a également sanctionné la société ICOMM CALL CENTER (ICOMM) d'une amende totale de 35 000 € pour plusieurs manquements en sa qualité de sous-traitant.
L'enquête a révélé des manquements spécifiques de la part de ce centre d'appels agissant pour le compte de HERON et d'autres sociétés.
L’enquête menée par l’autorité a permis de constater :
* Obligation de sécurité du traitement (article 32 du RGPD) : La société n'a pas pris les mesures de sécurité appropriées dans le cadre de ses activités de traitement, ce qui a conduit à des appels promotionnels vers des personnes inscrites sur le registre d'opposition « Opt-out ».
* Obligation de traiter les données uniquement sur instruction du responsable du traitement (article 29 du RGPD) : Il a été établi que la société a outrepassé les instructions reçues en sa qualité de sous-traitant, agissant de ce fait comme un responsable du traitement pour certaines opérations.
* Obligation de licéité, loyauté et transparence (article 5, paragraphe 1, point a du RGPD) : La société a effectué des appels promotionnels sans base légale valable. Le consentement recueilli via divers formulaires en ligne n'était ni spécifique, ni clair, ni éclairé, notamment en raison de l'utilisation de termes vagues pour désigner les destinataires des données.
En conséquence, la structure s'est vue sanctionner de l'amende mentionnée ci-dessus.
En outre, l’autorité a ordonné à la société de supprimer, dans un délai de six mois, les données personnelles collectées via ses sites internet à des fins de promotion de produits et services.
Enfin, le centre d'appels ΣΤΑΘΟΠΟΥΛΟΣ ΓΕΩΡΓΙΟΣ SOCIÉTÉ UNIPERSONNELLE À RESPONSABILITÉ LIMITÉE, opérant sous le nom commercial PREMIUM, a été sanctionné d'une amende de 15 000 € pour sa propre défaillance.
Son implication a été examinée dans le cadre de la même série de plaintes.
L’enquête menée par l’autorité a permis de constater :
* Obligation de sécurité du traitement (article 32 du RGPD) : La société n'a pas mis en œuvre les mesures techniques et organisationnelles appropriées, ce qui a entraîné la réalisation de sept appels promotionnels non sollicités vers des abonnés inscrits au registre d'opposition « Opt-out », et ce avec un numéro masqué. Les justifications techniques avancées par la société pour expliquer ces défaillances ont été jugées infondées par l'autorité.
En conséquence, l’autorité a imposé une amende de 15 000 € à la société.
En outre, l’autorité a ordonné à la société d'améliorer ses processus sous six mois afin d'éviter que de telles erreurs ne se reproduisent.
Cette affaire débute par de nombreuses plaintes de la part d'abonnés téléphoniques concernant des appels de prospection commerciale pour les produits et services de la société HERON.
L’enquête menée par l’autorité a permis de constater :
* Obligation de sécurité du traitement (article 32 du RGPD) : La société n'a pas mis en place de mesures suffisantes pour contrôler ses sous-traitants. Il a été constaté qu'elle ne vérifiait pas efficacement les processus d'intégration du registre d'opposition « Opt-out » par ses centres d'appels partenaires, ni ne disposait de procédures écrites à cet effet. De plus, le contrôle des numéros de téléphone utilisés par ses partenaires reposait uniquement sur des déclarations datant de plusieurs années après la signature des contrats, et la société a elle-même reconnu des erreurs techniques et humaines ayant conduit à des appels illicites.
En conséquence, l’autorité a imposé une amende de 115 000 € à HERON.
En outre, l’autorité a ordonné à la société d'élaborer, sous six mois, une procédure de contrôle de ses centres d'appels partenaires prévoyant au moins un audit annuel, et d'améliorer ses processus internes pour prévenir de futures erreurs.
Dans la même affaire, l'Autorité a également sanctionné la société ICOMM CALL CENTER (ICOMM) d'une amende totale de 35 000 € pour plusieurs manquements en sa qualité de sous-traitant.
L'enquête a révélé des manquements spécifiques de la part de ce centre d'appels agissant pour le compte de HERON et d'autres sociétés.
L’enquête menée par l’autorité a permis de constater :
* Obligation de sécurité du traitement (article 32 du RGPD) : La société n'a pas pris les mesures de sécurité appropriées dans le cadre de ses activités de traitement, ce qui a conduit à des appels promotionnels vers des personnes inscrites sur le registre d'opposition « Opt-out ».
* Obligation de traiter les données uniquement sur instruction du responsable du traitement (article 29 du RGPD) : Il a été établi que la société a outrepassé les instructions reçues en sa qualité de sous-traitant, agissant de ce fait comme un responsable du traitement pour certaines opérations.
* Obligation de licéité, loyauté et transparence (article 5, paragraphe 1, point a du RGPD) : La société a effectué des appels promotionnels sans base légale valable. Le consentement recueilli via divers formulaires en ligne n'était ni spécifique, ni clair, ni éclairé, notamment en raison de l'utilisation de termes vagues pour désigner les destinataires des données.
En conséquence, la structure s'est vue sanctionner de l'amende mentionnée ci-dessus.
En outre, l’autorité a ordonné à la société de supprimer, dans un délai de six mois, les données personnelles collectées via ses sites internet à des fins de promotion de produits et services.
Enfin, le centre d'appels ΣΤΑΘΟΠΟΥΛΟΣ ΓΕΩΡΓΙΟΣ SOCIÉTÉ UNIPERSONNELLE À RESPONSABILITÉ LIMITÉE, opérant sous le nom commercial PREMIUM, a été sanctionné d'une amende de 15 000 € pour sa propre défaillance.
Son implication a été examinée dans le cadre de la même série de plaintes.
L’enquête menée par l’autorité a permis de constater :
* Obligation de sécurité du traitement (article 32 du RGPD) : La société n'a pas mis en œuvre les mesures techniques et organisationnelles appropriées, ce qui a entraîné la réalisation de sept appels promotionnels non sollicités vers des abonnés inscrits au registre d'opposition « Opt-out », et ce avec un numéro masqué. Les justifications techniques avancées par la société pour expliquer ces défaillances ont été jugées infondées par l'autorité.
En conséquence, l’autorité a imposé une amende de 15 000 € à la société.
En outre, l’autorité a ordonné à la société d'améliorer ses processus sous six mois afin d'éviter que de telles erreurs ne se reproduisent.
Informations complémentaires
L’analyse complète est réservée aux membres
Montant de la sanction, thèmes, secteurs, entités et données concernées : l’essai gratuit de 14 jours ouvre la fiche entière et la veille personnalisée.
Essayer gratuitement 14 jours · accès complet · sans carte bancaire