Le 26 novembre 2019, Futura Internationale écopait d’une sanction de 500 000 euros infligée par la CNIL. Cette société spécialisée dans l’isolation thermique des domiciles de particuliers s’était vue reprocher plusieurs indélicatesses sur l’autel du sacro-saint RGPD.
Ainsi, elle ignorait le droit d’opposition des personnes désireuses de s’opposer à ses démarchages téléphoniques. De même, son logiciel de gestion de clients contenait de nombreux termes injurieux ou relatifs à l’état de santé des personnes, propos excessifs qui n’avaient rien à faire dans ces rouages.
Ce n’est pas tout. Des données à caractère personnel étaient transférées vers des États considérés comme n’assurant pas un niveau de protection adéquat (Côte d’Ivoire, Maroc, Tunisie), mais sans protéger ces flux avec les clauses contractuelles adoptées par la Commission européenne ou une autorité de contrôle.
Futura Internationale s’était en outre payé le luxe de ne pas répondre aux premières demandes formulées par les services de la CNIL et à la mise en demeure adressée par la présidente de la Commission, soit cette fois une atteinte au devoir de coopération imposé par la législation.
La commission avait constaté sa mise en conformité en janvier 2020, mais la société avait néanmoins combattu la décision initiale devant le Conseil d’État, juridiction ici compétente.
Elle a fait valoir « qu'elle a eu des difficultés à satisfaire à toutes les obligations de la loi du 6 janvier 1978, puis du RGPD, qu'elle a mis en oeuvre à la suite de la mise en demeure des dispositifs permettant l'exercice du droit d'opposition »
En outre, « le manquement à son obligation de coopérer avec la CNIL est imputable à ses conseils et ne relève pas d'une volonté délibérée et (…) en tout état de cause ce manquement a cessé dès l'engagement de la procédure de sanction ».
Le Conseil d’État lui a répondu d'une part que « les obligations qu'elle a méconnues existaient déjà avant l'entrée en vigueur du RGPD et la société ne saurait ainsi utilement invoquer la difficulté de se conformer à des obligations nouvelles ». D'autre part, que « les correctifs apportés en cours de procédure n'ont pas mis fin de façon effective aux manquements constatés avant la notification du rapport de sanction ».
Selon la juridiction administrative, eu égard à la gravité et à la persistance des manquements, la sanction de 500 000 euros n’est en rien disproportionnée. Une somme représentant 2,5% de son chiffre d'affaires de 2018 (pour un bénéfice net de 180 000 euros).
« Les arguments "C’est la faute de mon conseil" sont inopérants devant le Conseil d’État, car la conformité au RGPD incombe avant tout au responsable de traitement » rappelle pour sa part Me Alexandre Archambault.
Commentaires