CNIL – Nestor – SAN-2020-018

En novembre 2018 et janvier 2019, la CNIL a été saisie de quatre plaintes par des personnes non clientes de la société, indiquant avoir reçu des courriels de prospection de la part de cette dernière sans qu’elles aient fourni leur consentement préalable. Ces courriels contenaient des informations relatives à des offres commerciales et aux menus proposés par la société. En mai 2019, la CNIL a réalisé des contrôles en ligne et sur place.

À l’issue de son instruction, le rapporteur a fait notifier à la société NESTOR SAS, le 28 février 2020, un rapport détaillant les manquements au RGPD qu’il estimait constitués en l’espèce. Ce rapport proposait à la formation restreinte de la Commission de prononcer une injonction de mettre en conformité le traitement avec les dispositions des articles L. 34-5 du Code des postes et des communications électroniques et 12, 13, 15 et 32 du Règlement, assortie d’une astreinte de cinq cents euros par jour de retard à l’issue d’un délai de trois mois suivant la notification de la délibération de la formation restreinte, ainsi qu’une amende administrative. Il proposait également que cette décision soit rendue publique et ne permette plus d’identifier nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.