La décision HUBSIDE.STORE du 4 avril 2024 est l’une des dernières illustrations de la rigueur dont la CNIL fait preuve en matière de protection des données personnelles.

Dans cette affaire, la CNIL a infligé une amende de 525 000 euros à la société HUBSIDE.STORE, spécialisée dans le commerce de détail de matériel de télécommunication, suite à une plainte concernant l’utilisation « à des fins de prospection commerciale des données fournies par des courtiers en données, sans s’assurer que les personnes concernées avaient valablement consenti à être démarchées. »

Ces courtiers collectaient les données des personnes concernées via des formulaires de participation à des jeux concours ou à des tests de produits en ligne sur différents sites web.

La formation restreinte de la CNIL a jugé que les formulaires utilisés par les courtiers avaient une apparence trompeuse et ne permettaient donc pas de recueillir un consentement libre et univoque, conforme aux exigences du RGPD, des personnes concernées.

Cette amende, représentant environ 2% du chiffre d’affaires de la société HUBSIDE.STORE, a été prise en coopération avec les autorités de contrôle européennes de Belgique, d’Italie, d’Espagne et du Portugal dans le cadre du guichet unique, la société HUBSIDE. STORE traitant des données de clients et prospects de plusieurs États membres de l’Union européenne.

De plus, en tant que responsable de traitement des données collectées, la société HUBSIDE.STORE aurait dû s’assurer de la validité du consentement des personnes concernées et ce, même si elle avait imposé certaines exigences contractuelles à ses fournisseurs de données.

Par ailleurs, la formation restreinte de la CNIL a constaté un manquement à l’obligation de disposer d’une base légale pour les traitements mis en œuvre. En effet, en application du RGPD (article 6), la prospection commerciale par téléphone peut être fondée sur l’intérêt légitime de la société à la condition que les personnes concernées, au moment de la collecte de leurs données, soient informées qu’elles pourront recevoir des offres de prospection commerciale de la part de ladite société.

Or, les formulaires de collecte ne mentionnaient pas systématiquement la société HUBSIDE.STORE comme société partenaire susceptible de démarcher les personnes concernées. 

Enfin, la formation restreinte de la CNIL a relevé un manquement à l’obligation d’information prévue à l’article 14 du RGPD, les personnes concernées ne disposant pas de toutes les informations nécessaires sur la collecte et l’utilisation de leurs données.

Cette décision de la CNIL rappelle aux entreprises l'importance de veiller à la conformité de leurs pratiques de prospection commerciale.

La multiplication des actions répressives de la CNIL met en lumière la nécessité pour les entreprises de renforcer leurs procédures internes de contrôle et de vigilance en matière de protection des données personnelles.