Voyance en ligne : sanctions de 250 000 et 150 000 euros à l’encontre des sociétés COSMOSPACE et TELEMAQUE

Le contexte

Les sociétés COSMOSPACE et TELEMAQUE proposent des services de voyance à distance, par téléphone pour l’une, et par chat et SMS pour l’autre.

Les contrôles réalisés par la CNIL en 2021 ont permis de révéler plusieurs manquements, concernant la collecte de données sensibles sans consentement préalable et explicite (données de santé et données relatives à l’orientation sexuelle notamment), la conservation des données pendant une durée excessive, l’envoi de messages de prospection à des personnes n’ayant pas manifesté leur consentement ainsi que, s’agissant de la société COSMOSPACE, l’enregistrement systématique des appels téléphoniques.

En conséquence, la formation restreinte – organe de la CNIL chargé de prononcer les sanctions – a prononcé une amende de 250 000 euros à l’encontre de COSMOSPACE et de 150 000 euros à l’encontre de la société TELEMAQUE. Ces amendes ont été adoptées en coopération avec une quinzaine d’homologues européens de la CNIL dans les deux cas.

Le montant de ces amendes a notamment été décidé au regard de la gravité des manquements retenus, du nombre de personnes concernées – la base de données commune aux deux sociétés contenant les données de plus d’1,5 million de personnes – ainsi que de la sensibilité des données traitées. La situation financière des sociétés, et leur structure, ont également été prises en compte, pour retenir des amendes dissuasives mais proportionnées.

Les manquements sanctionnés

Un manquement à l’obligation de minimiser les données personnelles collectées et utilisées par la société COSMOSPACE (article 5-1-c du RGPD)

La société COSMOSPACE enregistrait systématiquement l’intégralité des appels téléphoniques passés entre les voyants, les clients et les standardistes. Elle estimait que de tels enregistrements étaient justifiés pour contrôler la qualité du service et pour la formation, pour démontrer la souscription et la bonne exécution du contrat, pour répondre aux réquisitions judiciaires et enfin, à des fins de sauvegarde de la vie humaine.

La formation restreinte a considéré que ces finalités (objectifs) ne justifiaient pas d’enregistrer l’ensemble des appels de manière intégrale et systématique, précisant que ces enregistrements devaient être limités, d’une part, à un échantillon de conversations permettant de contrôler la qualité du service et d’assurer la formation des salariés et, d’autre part, aux appels passés entre les standardistes et les clients ou prospects pour la seule partie portant clairement sur la conclusion du contrat. La formation restreinte a par ailleurs estimé qu’en cas d’appels de personnes en situation de détresse, les salariés pouvaient déclencher manuellement l’enregistrement.

Un manquement à l’obligation de définir une durée de conservation proportionnée à la finalité du traitement (article 5-1-e du RGPD)

La société COSMOSPACE conservait les données de ses clients pendant une durée de six ans à compter de la fin de la relation commerciale, pour pouvoir envoyer des messages de prospection commerciale.

La formation restreinte a rappelé que, pour une telle finalité, la CNIL recommandait une durée de conservation limitée à trois ans, et a considéré que la société n’avait pas démontré la nécessité de conserver les données deux fois plus longtemps. Elle a souligné la gêne pouvant être occasionnée par l’envoi de tels messages, sur une période aussi longue.

S’agissant de la société TELEMAQUE, celle-ci conservait les données de ses clients en base active pendant une durée de six ans, sans restreindre l’accès à ces données et sans opérer aucun tri parmi celles-ci.

La formation restreinte a rappelé que si certaines données clients pouvaient être conservées à l’issue de la relation commerciale (par exemple pour des finalités contentieuses ou précontentieuses), il appartenait à la société d’effectuer un tri parmi ces données, pour ne conserver que celles nécessaires pour ces finalités, et d’en limiter l’accès, en procédant à leur archivage intermédiaire. 

Un manquement à l’obligation de recueillir le consentement préalable à la collecte de catégories particulières de données (article 9 du RGPD)

Lors des consultations par téléphone, chat ou SMS, les clients pouvaient être amenés à communiquer des données relatives à leur orientation sexuelle ou à leur vie sexuelle, à leurs convictions religieuses ou encore à leur état de santé. Par ailleurs, les utilisateurs des sites web mis en œuvre par COSMOSPACE et TELEMAQUE pouvaient remplir un formulaire ayant pour objet de délivrer une prédiction sur leur compatibilité amoureuse avec une personne de leur choix, permettant ainsi d’en déduire leur orientation sexuelle. 

Les sociétés auraient dû recueillir un consentement préalable et explicite des clients au traitement de leurs données sensibles. La formation restreinte a rappelé que la simple volonté de recevoir des prestations de voyance et de livrer spontanément des informations sensibles ne pouvait être considérée comme un consentement explicite. Les sociétés auraient dû également fournir une information spécifique concernant la collecte de ces données sensibles.

Un manquement à l’obligation de recueillir le consentement des personnes à recevoir de la prospection commerciale par voie électronique (article L.34-5 du CPCE)

Pour réaliser leurs campagnes de démarchage par mail et SMS, les sociétés COSMOSPACE et TELEMAQUE disposent d’une base de données commune regroupant l’ensemble des données de leurs clients et prospects. Ces données sont notamment collectées via des formulaires figurant sur les sites web mis en œuvre par les deux sociétés.

La formation restreinte considère que l’apparence de ces formulaires ne permettait pas aux personnes concernées d’être clairement informées que leurs données pourraient être utilisées indifféremment par l’une ou l’autre de ces sociétés. Dès lors, la société COSMOSPACE ne pouvait se prévaloir du consentement recueilli par la société TELEMAQUE pour son compte, et inversement.