CNIL : amende de 600 000 euros pour Canal+ pour avoir spammé près de 4 millions de personnes

Le groupe Canal+ a envoyé des emails commerciaux sans avoir le consentement des personnes ciblées. La CNIL le rappelle à l'ordre, souligne qu'il est responsable de l'encadrement de ses sous-traitants et lui inflige une amende de 600 000 euros, sanctionnant au passage d'autres manquements au RGPD.

Entre 2019 et 2021, la Commission nationale de l'informatique et des libertés (CNIL) a reçu plusieurs plaintes contre les pratiques commerciales du groupe Canal+. L'autorité chargée de la protection des données a effectué plusieurs contrôles et constaté plusieurs manquements au RGPD, notamment le fait de ne pas avoir recueilli de consentement pour la mise en œuvre d'une prospection commerciale par voie électronique. Bref, Canal+ a spammé ses utilisateurs sans leur demander leur avis. C'est le plus gros manquement mis en valeur par la délibération de la CNIL du 12 octobre dernier.

L'autorité reproche aussi au groupe Canal+ le manque d'informations données aux personnes concernées sur le traitement de leurs données personnelles et notamment lors d'appels passés par un sous-traitant de prospection commerciale du groupe.

Près de 4 millions de personnes contactées sans consentement

Si les plaintes sur lesquelles se repose la CNIL sont peu nombreuses (31 reçues et cinq retenues dans le cadre de la procédure), le nombre de personnes concernées est beaucoup plus important.

La formation restreinte de l'autorité qui s'est prononcée sur le sujet « note que 3 346 632 prospects dont les données ont été collectées auprès de […] et 588 324 auprès de […] ont fait l’objet de prospection par voie électronique au cours de l’année 2021 par le prestataire intervenant pour le compte de la société GROUPE CANAL +. Pour l’ensemble de ces prospects, la société n’est pas en mesure de fournir de pièces démontrant l’obtention d’un consentement valablement recueilli auprès des personnes, que ce soit par ses soins – ce qu’elle a précisé ne pas faire – ou par les primo-collectants  » [ndlr : la CNIL est responsable du biffage des noms des sous-traitants de CANAL+].

En tout, ce sont donc près de 4 millions de personnes dont les données ont été collectées sans leur consentement par des sous-traitants de Canal+.

Plus précisément, si le groupe avait bien fourni des formulaires type de collecte de données à ses prestataires, ceux-ci ne donnaient « aucune information sur l’identité des partenaires concernés » par le partage des données personnelles (ces partenaires incluant Canal+).

Canal+ a bien tenté auprès de la CNIL de rejeter la faute sur ses prestataires en expliquant qu'il n'est pas destinataire des adresses emails « qui ne se trouvent pas dans sa base de données », mais la CNIL insiste sur le fait que « pour pouvoir se prévaloir d’un consentement valable recueilli par le primo-collectant, la société GROUPE CANAL + doit figurer dans la liste des partenaires auxquels les données sont transmises, dès lors que ces prestataires sous-traitants agissent pour son compte ».

D'ailleurs, en ce qui concerne sa relation avec ses prestataires, le groupe Canal+ se fait aussi taper sur les doigts par la rapporteure de la CNIL qui a constaté que « plusieurs contrats de sous-traitance relatifs à l’hébergement des données à caractère personnel, communiqués par la société, ne contenaient pas toutes les mentions prévues par [l'article 28 du RGPD] ». Ces contrats ont, de fait, été signés avant l'entrée en vigueur du RGPD et « n’ont pas depuis fait l’objet d’une mise à jour » pour les adapter au règlement.

Des démarchages téléphoniques irrespectueux du RGPD

Lors de sa mission de contrôle, la CNIL a aussi voulu vérifier que les appels téléphoniques de démarchages passés pour la création de ce fichier respectaient le droit et notamment le RGPD. Spoiler : pas toujours.

Canal+ a fourni un échantillon de 70  enregistrements d’appels téléphoniques effectués par un sous-traitant dans le cadre de campagnes de prospection. Après écoute par ses services, la CNIL a pu constater que « seize personnes démarchées par téléphone pour le compte de la société n’ont pas bénéficié d’une information complète dispensée dans les conditions prévues par l’article 14 [du RGPD] ». Et pour quatre appels entendus par l'autorité, « aucune information n’a été fournie ».

Si l'entreprise se défend en expliquant que pour certains appels trop courts, le téléconseiller n'a tout simplement pas eu le temps de fournir les informations aux personnes appelées et ne reconnait que six appels problématiques, la CNIL relève que « dans tous les cas visés par le rapport [...], le téléconseiller avait entamé la discussion sur les offres proposées par GROUPE CANAL +. Ainsi, même si l’appel était bref, le téléconseiller avait initié une démarche de prospection ».

Manque de sécurisation et de notification d'une violation des données

Mais les mauvaises pratiques de Canal+ constatées par la CNIL ne concernent pas seulement un manque d'information des prospects. À l'époque, l'autorité a aussi pu remarquer que les mots de passe des collaborateurs du groupe étaient stockés « hachée au moyen de l’algorithme MD4 » qui était « déjà réputé obsolète et insuffisamment robuste pour assurer la confidentialité des mots de passe à la date des constatations faites par la délégation ».

La CNIL « prend note que, depuis février 2023, la société utilise une nouvelle version de Windows Server qui a recours à un algorithme conforme à l’état de l’art » mais considère quand même qu'il y a eu manquement à l'article 32 du RGPD sur l'obligation de sécurité des données des utilisateurs.

Deuxième remarque de la CNIL sur le manque de sécurité, l'autorité a constaté que Canal+ « a été informée par des abonnés, le 5 février 2020, d’une violation de données. A la suite d’une mise à jour de l’espace client CANAL +, des abonnés accédant à leur compte ont pu visualiser les informations relatives à d’autres abonnés ».

Or, cette violation des données ne lui a pas été notifiée. Si Canal+ argue que la perte temporaire de confidentialité n'a duré « que 5 heures 35 minutes » et s'appuie sur les recommandations du Comité européen de la protection des données (CEPD) et de l’Agence de l’Union européenne chargée de la sécurité des réseaux et de l’information (ENISA) pour se justifier, l'autorité considère que le groupe aurait dû l'en informer quand même.

Droits d'accès et de suppression bafoués

L'autorité épingle enfin le groupe sur le droit d'accès et de suppression des données. Certaines personnes ayant saisi la CNIL ont vu leurs demandes d'accès restées lettre morte. Concernant les demandes de suppression de données, le groupe aurait bien suivi les demandes, mais n'aurait tout simplement pas avisé les personnes concernées que leurs demandes avaient été prises en compte.

Comme habituellement, l'autorité précise que le groupe Canal+ peut faire un recours auprès du Conseil d'État dans un délai de deux mois.