La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M.
 Jean-François CARREZ, Président, M. Alexandre LINDEN, Vice-président, M. Sébastien HUYGUE et M. Maurice RONAI,
 membres ;
Vu la Convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du
 traitement automatisé des données à caractère personnel ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi
 n° 2011-334 du 29 mars 2011, notamment ses articles 45 et suivants ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978
 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n° 2007-451 du 25 mars 2007 ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission
 nationale de l'informatique et des libertés ;
Vu la décision n°2012-022 du 19 juillet 2012 de la Présidente de la Commission nationale de l’informatique et des
 libertés de mettre en demeure la société X ;
Vu la décision n°2014-058C du 24 février 2014 de la Présidente de la Commission nationale de l’informatique et
 des libertés ordonnant une mission de vérification auprès de la société X ;
Vu la décision n°2014-053 du 13 octobre 2014 de la Présidente de la Commission nationale de l’informatique et des
 libertés de mettre en demeure la société X ;
Vu la délibération n°2014-427 du 23 octobre 2014 du bureau de la Commission nationale de l’informatique et des
 libertés décidant de rendre publique la décision de mise en demeure n°2014-053 du 13 octobre 2014 ;
Vu la décision de la Présidente de la Commission nationale de l’informatique et des libertés portant désignation
 d’un rapporteur, en date du 15 décembre 2014 ;
Vu le rapport de M. François PELLEGRINI, commissaire rapporteur, remis à la société X contre reçu le 16 janvier
 2015 ;
Vu les observations écrites versées par la société X le 16 février 2015, ainsi que les observations orales
 formulées lors de la séance de la formation restreinte ;
Vu les autres pièces du dossier.
Ayant entendu, lors de la séance de la formation restreinte du 26 février 2015 :
M. François PELLEGRINI, commissaire, en son rapport ;
M. Jean-Alexandre SILVY, Commissaire du Gouvernement adjoint, en ses observations ;
M. A, […] de la société X ;
M. B, […] de la société X ;
MM. C et D, avocats de la société X et Mme E, élève avocat.
La société X ayant pris la parole en dernier ;
A adopté la décision suivante :
Faits et procédure
La société X (ci-après la société ), premier groupe de presse en France, a pour activité l’édition de revues et
 périodiques sous format papier et sur Internet. Elle édite 26 titres dont les magazines […]. En 2012, elle a
 réalisé un chiffre d’affaires d’environ 450 millions d’euros. Son siège social est situé […].
Par décision n°2012-022 du 19 juillet 2012 de la Présidente de la Commission nationale de l’informatique et des
 libertés (ci-après la CNIL ou la Commission ), la société a fait l’objet d’une procédure de mise en demeure aux
 termes de laquelle il lui était demandé de se conformer aux prescriptions de la loi du 6 janvier 1978 modifiée
 (ci-après loi Informatique et Libertés ) s’agissant des traitements de données à caractère personnel relatives à
 ses prospects.
Après plusieurs échanges de courriers attestant d’une mise en conformité résultant, pour partie, d’engagements
 pris par la société, il a été décidé de la clôture en l’état de la procédure le 24 janvier 2013.
Par décision n° 2014-058C du 24 février 2014 de la Présidente de la CNIL, un nouveau contrôle a été opéré afin de
 vérifier le respect des termes de la mise en demeure précitée et de contrôler la régularité des traitements mis
 en œuvre par la société
Le 6 mars 2014, une délégation de la CNIL s’est rendue au siège de la société et a relevé, s’agissant des
 opérations de prospection commerciale par voie électronique, tant la persistance de certains manquements visés à
 la mise en demeure du 19 juillet 2012 que l’existence d’un nouveau manquement.
Par décision n°2014-053 du 13 octobre 2014, la Présidente de la CNIL a adopté une nouvelle mise en demeure,
 rendue publique par délibération n°2014-427 du 23 octobre 2014, notifiée à la société le 29 octobre suivant.
Celle-ci lui enjoignait, dans le délai d’un mois, d’adopter des mesures correctives destinées notamment à
 recueillir le consentement libre, spécifique et informé des personnes préalablement à l’envoi des lettres
 d’information, à informer les personnes concernées des traitements de données opérés, à assurer la sécurité et
 la confidentialité des données collectées et à respecter le droit d’opposition des personnes ne souhaitant plus
 recevoir de lettres d’information .
Par courrier du 1er décembre 2014, la société a apporté des éléments de réponse permettant de justifier d’une
 mise en conformité partielle avec les injonctions de la mise en demeure.
En raison de la persistance de certains manquements, la Présidente de la Commission a désigné M. François
 PELLEGRINI en qualité de rapporteur, le 15 décembre 2014, sur le fondement de l’article 46 de la loi du 6
 janvier 1978.
A l’issue de son instruction, le rapporteur a notifié à la société, le 16 janvier 2015, un rapport détaillant les
 manquements à la loi Informatique et Libertés qu’il estimait constitués en l’espèce. Ce rapport proposait à la
 formation restreinte de la CNIL de prononcer une sanction pécuniaire de 70.000€, dont il sollicitait par
 ailleurs qu’elle soit rendue publique.
Etait également jointe au rapport une convocation à la séance de la formation restreinte du 26 février 2015
 indiquant à l’organisme qu’il disposait d’un délai d’un mois pour communiquer ses observations écrites.
Le 16 février 2015, la société a produit des observations écrites sur le rapport, réitérées oralement lors de la
 séance de la formation restreinte du 26 février 2015.
Motifs de la décision
Sur le manquement à l’obligation de respecter les dispositions de l’article L.34-5 du Code des postes et des
 communications électroniques
L’article L. 34-5 du CPCE dispose qu’ est interdite la prospection directe au moyen d’un automate d’appel, d’un
 télécopieur ou d’un courrier électronique utilisant, sous quelque forme que ce soit, les coordonnées d’une
 personne physique qui n’a pas exprimé son consentement préalable à recevoir des prospections directes par ce
 moyen. Pour l'application du présent article, on entend par consentement toute manifestation de volonté libre,
 spécifique et informée par laquelle une personne accepte que des données à caractère personnel la concernant
 soient utilisées à fin de prospection directe .
Il a été constaté que la société permet à un internaute de demander à recevoir, par voie de formulaire, la lettre
 d’information du titre du site qu’il consulte mais également celles des autres revues ou périodiques édités par
 la société en cochant la case : oui, je souhaite recevoir les newsletters du groupe X .
La Formation restreinte relève que le fait de cocher la case susmentionnée entraîne la réception de lettres
 d’information destinées notamment à promouvoir d’autres titres de la société ainsi que des biens ou services
 proposés par des tiers. Ainsi, en l’espèce si l’objet principal de la lettre d’information est de fournir un
 contenu d’information, elle a également vocation à titre accessoire à assurer une opération de prospection au
 sens de l’article L.34-5 précité. Il appartenait donc à la société de recueillir un consentement libre,
 spécifique et informé.
Cette dernière a été mise en demeure de faire apparaître la liste exhaustive des lettres d’information auxquelles
 l’internaute souscrit lorsqu’il coche la case générale précitée.
La Formation restreinte relève que la société n’a pas apporté d’élément de réponse sur ce point dans le délai qui
 lui était imparti par la mise en demeure et ce malgré le caractère précis de l’injonction qui lui a été
 adressée.
En défense, postérieurement au délai imparti dans la mise en demeure, la société a communiqué les formulaires
 d’inscription de plusieurs de ses lettres d’information, faisant désormais apparaître la liste exhaustive des
 lettres d’information auxquelles l’intéressé souscrit en cochant la case précitée, tout en indiquant qu’elle
 aurait, au stade de la mise en demeure, répondu à ce manquement conjointement avec celui visé à l’article 32 de
 la loi Informatique et Libertés .
La Formation restreinte constate qu’aucune réponse au manquement à l’article L.34-5 précité n’a été apportée par
 la société dès lors que celle-ci ne peut se déduire de celle apportée au manquement à l’article 32 de la loi
 Informatique et Libertés . En l’espèce, la société aurait dû informer l’internaute sur le formulaire de
 l’intégralité des lettres d’information auxquelles il consent à s’inscrire. Or, la société ne justifie sur ce
 point que d’une mise en conformité partielle, postérieure au délai de conformité imparti par la mise en demeure.
En outre, la Formation restreinte rappelle que la société s’était déjà engagée, dans le cadre de la première
 procédure de mise en demeure, à remédier à cette défaillance en détaillant la liste des lettres d’information
 concernées par une souscription.
Sur le manquement à l’obligation d’informer les personnes
L’article 32 de la loi du 6 janvier 1978 modifiée dispose : I.- La personne auprès de laquelle sont recueillies
 des données à caractère personnel la concernant est informée, sauf si elle l'a été au préalable, par le
 responsable du traitement ou son représentant :
1° De l'identité du responsable du traitement et, le cas échéant, de celle de son représentant ;
2° De la finalité poursuivie par le traitement auquel les données sont destinées ;
3° Du caractère obligatoire ou facultatif des réponses ;
4° Des conséquences éventuelles, à son égard, d'un défaut de réponse ;
5° Des destinataires ou catégories de destinataires des données ;
6° Des droits qu'elle tient des dispositions de la section 2 du présent chapitre ;
7° Le cas échéant, des transferts de données à caractère personnel envisagés à destination d'un Etat non membre
 de la Communauté européenne.
Lorsque de telles données sont recueillies par voie de questionnaires, ceux-ci doivent porter mention des
 prescriptions figurant aux 1°, 2°, 3° et 6°.
Dans le cadre de la mise en demeure, il a été enjoint à la société de faire apparaître sur ses formulaires
 d’inscription aux lettres d’information, une mention d’information complète au regard de l’article précité.
Dans son courrier de réponse, la société a communiqué la mention type intégrée sur les formulaires concernés qui
 ne précise toutefois pas aux internautes qu’ils peuvent s’opposer au traitement effectué.
En défense, la société indique qu’elle aurait respecté ses obligations en faisant mention, sur ses formulaires de
 collecte, des droits d’accès, de modification, de rectification et de suppression des données et en renvoyant,
 pour les modalités pratiques de mise en œuvre de ces droits, à un autre support intitulé charte pour la
 protection des données.
Sur ce point, la formation restreinte rappelle que le droit de s’opposer à figurer dans un traitement visé à
 l’article 38 de la loi Informatique et Libertés, qui consiste, en l’espèce, à ne pas recevoir de courriels de
 prospection de la part de la société, se distingue des droits d’accéder aux données détenues par le responsable
 de traitement, garanti par l’article 39 de la loi précitée, et de celui d’obtenir la modification ou la
 rectification des données visé à l’article 40.
Elle précise que la mention relative au droit d’opposition doit figurer, ainsi que le prescrit l’article 32
 précité, sur le formulaire de collecte des données et non sur un autre support.
La formation restreinte relève également que le caractère non obligatoire de la collecte des données et le
 recueil du consentement des internautes à recevoir des lettres d’information est sans incidence sur l’obligation
 de la société d’informer la personne de son droit d’opposition qu’elle peut, le cas échéant, exercer a
 posteriori.
Dès lors, il est établi que le manquement est caractérisé en ce que la mention d’information présente sur les
 formulaires de collecte ne fait pas état du droit d’opposition.
Si la formation restreinte prend acte qu’à la date de la séance, la société s’est conformée à son obligation,
 elle relève toutefois que les correctifs ont été mis en œuvre postérieurement au délai imparti par la mise en
 demeure.
Sur le manquement à l’obligation de respecter le droit d’opposition
L’article 38 de la loi du 6 janvier 1978 modifiée dispose que Toute personne physique (…) a le droit de
 s’opposer, sans frais, à ce que les données la concernant soient utilisées à des fins de prospection, notamment
 commerciale, par le responsable actuel du traitement ou celui d’un traitement ultérieur .
A l’issue du contrôle sur place du 6 mars 2014, il a été constaté que certains internautes s’étant désabonnés des
 lettres d’information de la société via l’option gérer mes abonnements ou s’étant opposés à recevoir des
 courriels de sollicitation auprès du Correspondant Informatique et Libertés ont continué à recevoir des messages
 électroniques de la société.
Mise en demeure de respecter de manière systématique le droit d’opposition des personnes, la société a indiqué
 que la procédure qu’elle mettait en œuvre était opérante et que les difficultés identifiées par la délégation de
 contrôle pouvaient correspondre aux situations d’internautes s’étant successivement désabonnés puis réabonnés
 aux lettres d’information ou ayant sollicité leur désabonnement depuis une adresse électronique invalide.
En défense, la société a maintenu cette argumentation tout en contestant la validité des constats opérés par la
 délégation de contrôle sur ses bases de données auprès de son prestataire technique.
Sur ce point, la formation restreinte considère que les constats opérés sont réguliers au regard de l’article 44
 de la loi Informatique et Libertés dans la mesure où, d’une part, la délégation est autorisée à contrôler les
 traitements mis en œuvre par un prestataire pour le compte du responsable de traitement, et, d’autre part, la
 requête a porté sur la base de données de la société afin d’en extraire la liste des personnes ne possédant plus
 d’abonnement aux lettres d’information ou ayant demandé à ne plus recevoir de sollicitation qui a été annexée au
 procès-verbal de contrôle après prise d’empreinte numérique.
Sur le fond, la formation restreinte relève que la société a apporté des éléments d’explication sur les
 dysfonctionnements constatés lors du contrôle et considère qu’elle met en œuvre une procédure de gestion des
 désabonnements de nature à garantir une correcte prise en compte du droit d’opposition des personnes de sorte
 que le manquement n’est pas caractérisé.
Sur le manquement à l’obligation de définir et de respecter une durée de conservation proportionnée à la finalité
 du traitement
L’article 6-5° de la loi du 6 janvier 1978 modifiée dispose que les données à caractère personnel sont conservées
 sous une forme permettant l’identification des personnes concernées pendant une durée qui n’excède pas la durée
 nécessaire aux finalités pour lesquelles elles sont collectées et traitées .
Lors du contrôle sur place du 6 mars 2014, la société a indiqué que les données des internautes ayant souscrit à
 une lettre d’information sont supprimées par déclenchement manuel d’un script SQL, qui prévoit une anonymisation
 des données à l’expiration d’un délai de 760 jours d’inactivité (soit 2 ans et 30 jours). Elle a précisé que le
 point de départ de la durée de conservation est l’ouverture de la lettre d’information ou le clic sur un lien
 proposé dans cette lettre par les personnes concernées.
Dans le cadre de la mise en demeure, il a été enjoint à la société de se conformer à la norme simplifiée n° 48,
 en référence à laquelle elle a souscrit un engagement de conformité le 23 juillet 2011, et qui prévoit que Les
 données à caractère personnel relatives à un prospect non client peuvent être conservées pendant un délai de
 trois ans à compter de leur collecte par le responsable de traitement ou du dernier contact émanant du prospect
 (demande de documentation par exemple) . A cet égard, la mise en demeure a précisé que ni l’ouverture d’une
 lettre d’information ni le clic sur un lien hypertexte contenu dans une telle lettre ne peuvent constituer un
 contact au sens de cette norme.
En défense, la société a indiqué que, en ouvrant une lettre d’information, l’abonné effectue une action lui
 permettant de consommer le contenu de la lettre et donc d’être en contact avec l’éditeur du contenu. Elle
 considère a fortiori que le clic sur un lien hypertexte contenu dans la lettre d’information constitue un
 contact émanant de l’internaute.
La formation restreinte considère que le clic de l’abonné sur un lien hypertexte peut constituer un contact au
 sens de la norme simplifiée n° 48 dans la mesure où il manifeste sa volonté d’interagir avec la société. Elle
 estime toutefois que la simple ouverture de la lettre d’information, qui peut arriver par inadvertance, ne peut
 constituer le point de départ de la durée de conservation.
Dès lors, elle considère que le manquement à la durée de conservation est caractérisé.
Sur la sanction et la publicité
Les manquements commis par la société ont persisté au-delà du délai imparti par la mise en demeure et n’ont été
 régularisés, pour partie, que dans le cadre de la présente procédure justifiant le fait que soit prononcée à son
 encontre une sanction.
En outre, la société ne pouvait ignorer ses obligations en sa qualité de responsable de traitement compte tenu de
 l’existence de procédures antérieures portant sur des manquements similaires.
La formation restreinte décide en conséquence de fixer le montant de la sanction à la somme de 15000 € et de
 rendre publique sa délibération.
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide :
De prononcer une sanction pécuniaire de 15.000 € à l’encontre de la société X ;
De rendre publique sa délibération.
Le Président,
Jean-François CARREZ
Cette décision peut faire l’objet d’un recours devant le Conseil d’Etat dans un délai de deux mois à compter de
 sa notification.
