Vu la procédure suivante :
Par une requête sommaire, un mémoire complémentaire, un mémoire en réplique et un nouveau mémoire, enregistrés les 15 décembre 2023, 13 mars et 3 décembre 2024 et 4 mars 2025 au secrétariat du contentieux du Conseil d'Etat, la société Groupe Canal + demande au Conseil d'Etat :
1°) d'annuler la délibération n° SAN-2023-015 du 12 octobre 2023 par laquelle la formation restreinte de la Commission nationale de l'informatique et des libertés (CNIL) a prononcé à son encontre une amende administrative d'un montant de 600 000 euros ;
2°) de réformer cette délibération en réduisant le montant de l'amende qui lui a été infligée ;
3°) à titre subsidiaire, de saisir à titre préjudiciel la Cour de justice de l'Union européenne de la question suivante :
" L'article 7 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (RGPD), lu en combinaison avec ses articles 4, 13 et 14, ensemble les articles 2 et 13 de la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002, doit-il être interprété en ce sens que lorsqu'un organisme, à l'occasion de la collecte des données personnelles auprès de ses clients-abonnés, recueille leur consentement pour que ces données puissent donner lieu à des opérations de prospection commerciale électronique de sa part ou de celle de ses partenaires, ledit organisme déterminant ainsi lui-même la finalité et les moyens du traitement dont il doit dès lors être regardé comme le responsable, le caractère éclairé de ce consentement est nécessairement subordonné à l'information préalable donnée aux personnes concernées de l'identité des partenaires de l'organisme, destinataires des données et susceptibles de leur envoyer ou faire envoyer de la prospection commerciale électronique ' "
4°) de mettre à la charge de la CNIL et de l'Etat la somme de 5 000 euros au titre de l'article L. 761-1 du code de justice administrative.
Vu les autres pièces du dossier ;
Vu :
- la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 ;
- le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;
- le code des postes et des communications électroniques ;
- la loi n° 78-17 du 6 janvier 1978 ;
- le code de justice administrative ;
Après avoir entendu en séance publique :
- le rapport de Mme Alexandra Poirson, auditrice,
- les conclusions de M. Frédéric Puigserver, rapporteur public ;
La parole ayant été donnée, après les conclusions, à la SCP Rocheteau, Uzan-Sarano et Goulet, avocat de la société Groupe Canal Plus ;
Vu la note en délibéré, enregistrée le 21 mars 2025, présentée par la CNIL ;
Considérant ce qui suit :
Sur l'intervention :
1. Le syndicat professionnel DMA France, le syndicat CPA, l'association Alliance Digitale et l'association Le Geste justifient d'un intérêt suffisant à l'annulation de la décision attaquée. Par suite, leur intervention est recevable.
Sur le litige :
2. La société Groupe Canal + demande l'annulation de la délibération du 12 octobre 2023 par laquelle la formation restreinte de la Commission nationale de l'informatique et des libertés (CNIL) a prononcé à son encontre une amende administrative d'un montant de 600 000 euros, à raison de manquements au paragraphe 1 de l'article 7, aux articles 12, 13, 14, 15, 28, 32 et 33 du règlement (UE) 2016/679 du Parlement et du Conseil du 27 avril 2016 (RGPD), ainsi qu'à l'article L. 34-5 du code des postes et des communications électroniques.
3. En premier lieu, aux termes du paragraphe 11 de l'article 4 du RGPD, est défini comme consentement de la personne concernée " toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l'objet d'un traitement. " Aux termes du paragraphe 1 de l'article 7 du même règlement : " Dans les cas où le traitement repose sur le consentement, le responsable du traitement est en mesure de démontrer que la personne concernée a donné son consentement au traitement de données à caractère personnel la concernant. "
4. En deuxième lieu, l'article L. 34-5 du code des postes et des communications électroniques, qui transpose en droit interne l'article 13 de la directive du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques (directive vie privée et communications électroniques), dispose que : " Est interdite la prospection directe au moyen de système automatisé de communications électroniques au sens du 6° de l'article L. 32, d'un télécopieur ou de courriers électroniques utilisant les coordonnées d'une personne physique, abonné ou utilisateur, qui n'a pas exprimé préalablement son consentement à recevoir des prospections directes par ce moyen. / Pour l'application du présent article, on entend par consentement toute manifestation de volonté libre, spécifique et informée par laquelle une personne accepte que des données à caractère personnel la concernant soient utilisées à fin de prospection directe. "
5. En troisième lieu, aux termes du paragraphe 1 de l'article 13 du RGPD, l'information claire et complète dont doit disposer la personne concernée avant le recueil de son consentement, lorsque les données sont collectées auprès de cette personne, inclut : " a) l'identité et les coordonnées du responsable du traitement et, le cas échéant, du représentant du responsable du traitement / (...) e) Les destinataires ou les catégories de destinataires des données à caractère personnel, s'ils existent (...). " Aux termes des deux premiers alinéas du paragraphe 1 de l'article 14 de ce règlement : " Lorsque les données à caractère personnel n'ont pas été collectées auprès de la personne concernée, le responsable du traitement fournit à celle-ci toutes les informations suivantes : / a) l'identité et les coordonnées du responsable du traitement et, le cas échéant, du représentant du responsable du traitement ".
6. Il résulte de l'instruction que la société Groupe Canal + a fait réaliser pour son compte des opérations de prospection commerciale par voie électronique, en contactant des prospects dont les données à caractère personnel avaient été collectées par deux fournisseurs d'accès à internet (FAI) auprès de leurs abonnés. Les personnes concernées étaient invitées à cocher une case dans les formulaires de collecte indiquant leur consentement à l'utilisation de leurs données à caractère personnel à fins de prospection par les " partenaires " des FAI, sans que ces partenaires soient nommément identifiés dans le formulaire de collecte, ni dans une liste accessible par un lien hypertexte, ni par tout autre moyen. La société Groupe Canal +, qui est l'un des partenaires de ces FAI, auprès desquels elle a acquis la liste des personnes concernées, a fait réaliser des opérations de prospection commerciale auprès d'environ 3,9 millions de personnes au cours de l'année 2021 sans procéder à un recueil exprès de leur consentement. La formation restreinte de la CNIL a estimé que cette société avait, ce faisant, commis un manquement à l'obligation de recueillir le consentement des personnes concernées pour la mise en œuvre de prospection commerciale par voie électronique.
7. Il résulte de ce qui a été dit au point précédent que la société Groupe Canal + est responsable du traitement lié aux opérations de prospection commerciale qu'elle a mises en oeuvre. À ce titre, en application des dispositions citées aux points 3 à 5, elle doit être en mesure de démontrer que les personnes concernées ont donné un consentement éclairé au traitement de leurs données personnelles à cette fin.
8. A l'appui de son pourvoi, la société requérante soutient que le consentement des personnes concernées, recueilli selon les modalités exposées au point 6 par les FAI, était suffisamment éclairé pour qu'elles puissent recevoir de la prospection commerciale par voie électronique pour son compte, dans la mesure où les personnes concernées avaient donné leur accord à l'utilisation de leurs données par des partenaires de ces FAI.
9. La réponse à ce moyen dépend de la question de savoir si, et le cas échéant à quelles conditions, le paragraphe 11 de l'article 4 du RGPD, lu en combinaison avec les articles 13 et 14 du RGPD ainsi que l'article 13 de la directive du 12 juillet 2002, doit être interprété en ce sens que le consentement de la personne concernée, donné à un primo-collectant, à ce que ses données soient utilisées par une catégorie de destinataires, comme, en l'espèce, les " partenaires " des FAI, peut être considéré comme un consentement libre, spécifique, éclairé et univoque permettant à toute personne appartenant à cette catégorie de procéder à des opérations de prospection commerciale par voie électronique sans avoir besoin de solliciter un nouveau consentement, ou si la combinaison de ces dispositions implique, dans une telle hypothèse, que tout destinataire des données personnelles recueillies, si son identité n'était pas connue de la personne concernée au moment où elle a donné son consentement au primo-collectant, recueille le consentement de cette personne avant de pouvoir procéder auprès d'elle à de la prospection commerciale en qualité de responsable d'un nouveau traitement.
10. Dans l'hypothèse où la Cour retiendrait que le consentement donné par la personne concernée, à un primo-collectant, à ce que ses données soient utilisées par une catégorie de destinataires pour réaliser de la prospection commerciale par voie électronique, peut être considéré comme un consentement éclairé au sens des dispositions précitées, la question se pose également de savoir si le degré de précision de la notion de " catégorie " de destinataires revêt une importance ou si celle-ci peut, comme dans le cas présent, se contenter de renvoyer à tout " partenaire " du primo-collectant.
11. Ces questions sont déterminantes pour la solution du litige que doit trancher le Conseil d'Etat. Elles présentent des difficultés sérieuses. Il y a lieu, par suite, d'en saisir la Cour de justice de l'Union européenne en application de l'article 267 du traité sur le fonctionnement de l'Union européenne, et jusqu'à ce que celle-ci se soit prononcée, de surseoir à statuer sur la requête de la société Groupe Canal +.
D E C I D E :
--------------
Article 1er : L'intervention du syndicat professionnel DMA France, du syndicat CPA, de l'association Alliance Digitale et de l'association Le Geste est admise.
Article 2 : Il est sursis à statuer sur la requête de la société Groupe Canal + jusqu'à ce que la Cour de justice de l'Union européenne se soit prononcée sur les questions suivantes :
1°) Le paragraphe 11 de l'article 4 du RGPD, lu en combinaison avec les articles 13 et 14 du RGPD ainsi que l'article 13 de la directive du 12 juillet 2002, doit-il être interprété en ce sens que le consentement de la personne concernée, donné à un primo-collectant, à ce que ses données soient utilisées par une catégorie de destinataires, comme, en l'espèce, les " partenaires " des FAI, peut être considéré comme un consentement libre, spécifique, éclairé et univoque permettant à toute personne appartenant à cette catégorie de procéder à des opérations de prospection commerciale par voie électronique sans avoir besoin de solliciter un nouveau consentement, ou bien la combinaison de ces dispositions implique-t-elle, dans une telle hypothèse, que tout destinataire des données personnelles recueillies, si son identité n'était pas connue de la personne concernée au moment où elle a donné son consentement au primo-collectant, recueille le consentement de cette personne avant de pouvoir procéder auprès d'elle à de la prospection commerciale en qualité de responsable d'un nouveau traitement '
2°) Dans l'hypothèse où il conviendrait de retenir que le consentement donné par la personne concernée, à un primo-collectant, à ce que ses données soient utilisées par une catégorie de destinataires pour réaliser de la prospection commerciale par voie électronique, peut être considéré comme un consentement éclairé au sens des dispositions précitées, le degré de précision de la notion de " catégorie " de destinataires revêt-il une importance ou celle-ci peut-elle, comme dans le cas présent, se contenter de renvoyer à tout " partenaire " du primo-collectant '
Article 3 : La présente décision sera notifiée à la société Groupe Canal +, à la Commission nationale de l'informatique et des libertés et à la Cour de justice de l'Union européenne.
Copie en sera adressée au Premier ministre, au syndicat professionnel DMA France, au syndicat CPA, à l'association Alliance Digitale et à l'association Le Geste.
