Prestataire non responsable pour absence d’effectivité du droit d’opposition

Prospection commerciale, plaintes , contrôle de la Cnil et sanction… rappel de l’importance de se conformer aux obligations légales exigées par la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés.

Dans une délibération du 17 juin dernier, la Cnil condamne une société, notamment du fait de l’absence d’effectivité du droit d’opposition (http://tinyurl.com/39we9dl)

La société condamnée adressait à ses prospects, sans leur consentement préalable, des télécopies d’invitation à des ventes privées de vêtements « à prix entrepôt ». Suite à la réception de ces invitations certaines personnes ont souhaité exercer leur droit d’opposition afin de ne plus être informées des opérations commerciales de cette société. Malheureusement, la prospection commerciale a continué et près de 40 personnes ont saisi la Cnil, ce qui a suffi à déclencher un contrôle de la Cnil au sein de la société.

Lors de ce contrôle la société a expliqué que la prospection est réalisée via un prestataire qui doit être le seul responsable des manquements relevés par la Cnil. La société argumentait en expliquant qu’elle  avait « pris toutes les mesures à sa portée pour que les demandes d’opposition soient prises en compte de manière effective et pérenne » et notamment que le contrat passé avec son prestataire mentionnait que celui-ci serait « tenu pour responsable des violations aux articles susvisés ».

Or, selon la Cnil :

– « la conclusion d’accords contractuels ne saurait permettre à une société d’écarter la responsabilité qui lui incombe au regard de la loi “Informatique et Libertés” quant aux traitements effectués pour son compte. »

En conséquence, la Cnil a condamné la société à payer 15 000euros d’amende et à la publication de la décision correspondante.

La Cnil confirme ainsi que chaque société reste responsable du traitement de ses données à caractère personnel et ne peut faire porter cette responsabilité à ses prestataires, même ces prestataires traitent les données pour le compte du client.

En revanche, et dans la mesure où les actions mises en place – ou non – par vos prestataires sont clairement susceptibles d’engager la responsabilité des sociétés clientes, il convient de penser à insérer les clauses pertinentes dans vos contrats, notamment et surtout les contrats CRM. Ces clauses peuvent prendre la forme de clauses de garantie, permettant ainsi d’appeler les prestataires en garantie en cas d’actions ou de réclamations liées au non-respect des règles imposées par  la loi “Informatique et Libertés” et en particulier pour les traitements effectués par le prestataire pour le compte de l’entreprise cliente.