L’Essentiel : La cession d’une base d’abonnés à un nouveau responsable de traitement nécessite le consentement préalable des abonnés, conformément à la loi n° 78-17 du 6 janvier 1978 « Informatique et Libertés ». Le nouveau responsable doit informer les abonnés de son identité, des finalités du traitement, ainsi que de leurs droits, notamment celui de s’opposer au transfert de leurs données. Dans une affaire récente, il a été jugé que l’obligation d’informer les clients de la société cédante avait été satisfaite, à condition que la mention appropriée soit clairement communiquée, garantissant ainsi le respect des droits des individus.

Une cession de liste d’abonnés à un nouveau responsable de traitement automatisé de données nominatives (hypothèse de la cession d’entreprise ou autre), emporte l’obligation d’obtenir le consentement préalable des nouveaux abonnés.

Nouveau responsable de traitement

En effet, en application de la loi n° 78-17 du 6 janvier 1978 « Informatique et Libertés », la personne auprès de laquelle sont recueillies des données à caractère personnel la concernant est informée, sauf si elle l’a été au préalable, par le responsable du traitement ou son représentant : i) De l’identité du responsable du traitement et, le cas échéant, de celle de son représentant ; ii) De la finalité poursuivie par le traitement auquel les données sont destinées ; iii) Du caractère obligatoire ou facultatif des réponses ; iv) Des conséquences éventuelles, à son égard, d’un défaut de réponse ; v) Des destinataires ou catégories de destinataires des données ; vi) De ses droits d’accès, de rectification et d’opposition  ; vii) Le cas échéant, des transferts de données à caractère personnel envisagés à destination d’un Etat non membre de la Communauté européenne.

Obligation satisfaite

Dans cette affaire, l’obligation incombant à la société cessionnaire, en vertu de la loi Informatique et Libertés, d’informer les clients de la société cédante, dont elle avait acquis la base de contacts, de cette acquisition et de leur droit de s’opposer au transfert de leurs données à caractère personnel a été jugée satisfaite.

Exemple de mention suffisante

L’apposition de la mention suivante a été validée : « Soucieux du respect de vos droits au titre de la loi Informatique et Libertés, … vous informe de votre droit de vous opposer au traitement des données vous concernant. Si vous ne souhaitez pas que vos données abonnés … soient transmises à …. , nous vous prions de vous rendre sur cette page (en cas d’opposition vos données seront supprimées) ».

Télécharger la décision  

Q/R juridiques soulevées :

Qu’est-ce qu’une cession de liste d’abonnés implique pour le nouveau responsable de traitement ?

Une cession de liste d’abonnés à un nouveau responsable de traitement de données implique l’obligation d’obtenir le consentement préalable des abonnés concernés. Cela signifie que lorsque des données personnelles sont transférées d’une entreprise à une autre, le nouveau responsable doit s’assurer que les abonnés sont informés de ce transfert et qu’ils ont la possibilité de consentir ou de s’opposer à ce traitement.

Cette exigence est ancrée dans la loi n° 78-17 du 6 janvier 1978, connue sous le nom de « Informatique et Libertés ». Cette loi vise à protéger les données personnelles des individus en leur garantissant des droits spécifiques concernant l’utilisation de leurs informations.

Quels sont les droits des abonnés selon la loi Informatique et Libertés ?

Selon la loi Informatique et Libertés, les abonnés ont plusieurs droits concernant leurs données personnelles. Ces droits incluent :

1. Droit d’accès : Les abonnés peuvent demander à connaître quelles données les concernant sont collectées et traitées.

2. Droit de rectification : Ils peuvent demander la correction de données inexactes ou incomplètes.

3. Droit d’opposition : Les abonnés ont le droit de s’opposer à ce que leurs données soient traitées, notamment dans le cadre de la cession de leurs informations à un nouveau responsable.

4. Droit à l’effacement : Ils peuvent demander la suppression de leurs données dans certaines conditions.

5. Information sur les destinataires : Les abonnés doivent être informés des destinataires de leurs données, ce qui inclut le nouveau responsable de traitement.

Comment la société cessionnaire doit-elle informer les clients de l’acquisition de leurs données ?

La société cessionnaire a l’obligation d’informer les clients de la société cédante de l’acquisition de leurs données. Cette information doit être claire et précise, conformément aux exigences de la loi Informatique et Libertés.

Elle doit inclure des éléments tels que l’identité du nouveau responsable de traitement, la finalité du traitement des données, et les droits des abonnés, notamment leur droit de s’opposer au transfert de leurs données.

Dans une affaire récente, il a été jugé que cette obligation avait été satisfaite lorsque la société cessionnaire a informé les clients de manière adéquate.

Quelle mention a été jugée suffisante pour informer les abonnés ?

Une mention spécifique a été validée comme étant suffisante pour informer les abonnés de leurs droits. Cette mention stipule :

« Soucieux du respect de vos droits au titre de la loi Informatique et Libertés, … vous informe de votre droit de vous opposer au traitement des données vous concernant. Si vous ne souhaitez pas que vos données abonnés … soient transmises à …, nous vous prions de vous rendre sur cette page (en cas d’opposition vos données seront supprimées). »

Cette formulation permet aux abonnés de comprendre clairement leurs droits et les actions à entreprendre s’ils souhaitent s’opposer au traitement de leurs données.

Quels sont les enjeux de la cession de données personnelles ?

Les enjeux de la cession de données personnelles sont multiples et touchent à la fois la protection des droits des individus et la responsabilité des entreprises.

D’une part, il est crucial de garantir que les données personnelles ne soient pas utilisées sans le consentement explicite des abonnés. Cela renforce la confiance des consommateurs envers les entreprises et leur engagement à respecter la vie privée.

D’autre part, les entreprises doivent être conscientes des implications juridiques d’une cession de données. En cas de non-respect des obligations légales, elles peuvent faire face à des sanctions, des amendes, et des dommages à leur réputation.

Ainsi, la cession de données personnelles doit être gérée avec soin pour respecter les droits des abonnés tout en permettant aux entreprises de bénéficier des informations qu’elles détiennent.