Décision du 17 avril 2026 du PFPDT contre Cream della Cream Switzerland GmBH et Philipp Plein International AG

Faits

Cream della Cream Switzerland GmbH et Philipp Plein International AG sont deux socié­tés ayant leur siège à Mendrisio (TI). Selon la poli­tique de confi­den­tia­lité des sites du groupe Philipp Plein, les deux socié­tés sont respon­sables conjoints du trai­te­ment des données person­nelles collec­tées sur les sites du groupe, la première étant en outre respon­sable du site Internet. Le 3 décembre 2023, le PFPDT reçoit une dénon­cia­tion contre Cream della Cream. Il lui est repro­ché d’avoir utilisé, à des fins publi­ci­taires, les données person­nelles d’un client de la marque bien que celui-ci s’y soit opposé. Le PFPDT rappelle au respon­sable du trai­te­ment que l’en­voi de publi­cité consti­tue un trai­te­ment de données au sens de la LPD et que les oppo­si­tions doivent être respec­tées, confor­mé­ment à l’art. 30 al. 2 let. b LPD. Ce cour­rier reste sans réponse.

Entre janvier et octobre 2024, plusieurs autres clients établis dans diffé­rents États euro­péens signalent des faits simi­laires. Après un achat en boutique ou en ligne, ils conti­nuent de rece­voir des SMS et cour­riels publi­ci­taires sans y avoir consenti, malgré leurs demandes répé­tées d’ar­rêt de ces envois et/​ou de suppres­sion de leurs données person­nelles. Les cour­riels reçus contiennent un lien de désins­crip­tion qui s’avère inef­fi­cace. Les SMS, quant à eux, n’indiquent pas comment se désa­bon­ner. Certaines demandes de clients restent sans suite, tandis que d’autres reçoivent une confir­ma­tion de suppres­sion de leurs données, sans que les envois publi­ci­taires ne cessent pour autant. Le PFPDT adresse un nouveau cour­rier à Cream della Cream en octobre 2024 en lui rappe­lant ses obli­ga­tions en tant que respon­sable du trai­te­ment. Celui-ci reste une fois de plus sans réponse.

Face à ces manque­ments répé­tés, le PFPDT ouvre une enquête en octobre 2025. Les deux socié­tés ne prennent pas posi­tion et ne contestent pas l’état de fait retenu. Le PFPDT statue ainsi sur les faits tels qu’il les a consta­tés (cf. art. 12 PA).

1. Traitement des données personnelles 

Le PFPDT rappelle d’abord que l’en­voi de messages publi­ci­taires à des clients iden­ti­fiés au moyen de leur numéro de télé­phone ou de leur adresse élec­tro­nique consti­tue un trai­te­ment de données person­nelles au sens de l’art. 5 let. d LPD. Les deux socié­tés ont leur siège en Suisse et traitent des données de personnes en Suisse et dans l’UE. Elles sont dès lors soumises à la LPD (art. 2 al. 1 let. a LPD).

Traitement des données person­nelles à but publi­ci­taire malgré l’opposition de la personne concernée

Selon l’art. 30 al. 2 let. b LPD, consti­tue une atteinte à la person­na­lité le fait de trai­ter des données person­nelles contre la mani­fes­ta­tion expresse de la volonté de la personne concer­née. Le PFPDT relève que cette oppo­si­tion (opting-out) ne requiert aucune forme parti­cu­lière (FF 2017 6565, p. 6688). Il suffit qu’elle résulte clai­re­ment de mots ou de signes.

Une atteinte est illi­cite à moins qu’elle ne soit justi­fiée par le consen­te­ment de la personne concer­née, par un inté­rêt privé ou public prépon­dé­rant ou par la loi (art. 31 al. 1 LPD). C’est au respon­sable du trai­te­ment de démon­trer l’existence d’un tel motif justi­fi­ca­tif (cf. art. 8 CC).

En l’espèce, les données person­nelles utili­sées à des fins publi­ci­taires, à savoir les adresses élec­tro­niques et les numé­ros de télé­phone recueillis lors de la vente de produits, ont fait l’objet d’oppositions expresses de la part de certaines des personnes concer­nées. Celles-ci ont notam­ment contacté les socié­tés par cour­riel, par télé­phone ou au moyen des formu­laires dispo­nibles sur leurs sites Internet afin d’exiger la cessa­tion de toute utili­sa­tion de leurs données. Malgré ces oppo­si­tions, les socié­tés ont pour­suivi l’envoi de conte­nus publicitaires.

En l’absence de motif justi­fi­ca­tif invo­qué par les socié­tés ou établi par le PFPDT, les trai­te­ments liti­gieux sont illicites.

Droit à la suppres­sion des données person­nelles et prin­cipe de la bonne foi 

Le PFPDT rappelle égale­ment que la LPD consacre un droit à l’effacement des données person­nelles (art. 30 al. 2 let. b cum art. 6 al. 3 et 4 LPD). Lorsqu’une personne concer­née en demande la suppres­sion, celles-ci doivent en prin­cipe être détruites ou anony­mi­sées, à moins qu’un motif justi­fi­ca­tif ne justi­fie leur conser­va­tion. Le trai­te­ment des données doit par ailleurs respec­ter le prin­cipe de la bonne foi (art. 6 al. 2 LPD). Un trai­te­ment effec­tué à l’insu ou contre la volonté de la personne concer­née est contraire à ce principe.

En l’espèce, plusieurs personnes ont expres­sé­ment requis la suppres­sion de leurs données, notam­ment afin de mettre un terme aux commu­ni­ca­tions publi­ci­taires. Malgré ces demandes, les socié­tés ont conti­nué à utili­ser leurs données à des fins marke­ting. Dans certains cas, elles ont même confirmé aux personnes concer­nées que leurs données avaient été suppri­mées, avant de pour­suivre l’envoi de messages publicitaires.

Le PFPDT retient que la pour­suite du trai­te­ment malgré les demandes de suppres­sion consti­tue une atteinte à la person­na­lité au sens de l’art. 30 al. 2 let. b LPD. Lorsque la suppres­sion a été confir­mée, la pour­suite du trai­te­ment consti­tue en outre une viola­tion du prin­cipe de la bonne foi et, partant, une atteinte illi­cite à la person­na­lité des clients concernés.

Conclusions et mesures 

Le PFPDT conclut que les parties portent une atteinte illi­cite à leurs clients en leur envoyant des messages publi­ci­taires en dépit de leur oppo­si­tion expresse au trai­te­ment de leurs données à des fins publicitaires.

Cream della Cream et Philipp Plein sont tenues de se mettre en confor­mité avec la LPD. Elles doivent cesser de trai­ter les données person­nelles à des fins publi­ci­taires lorsqu’un client s’y oppose et effa­cer, à la demande de celui-ci, ses données person­nelles, sauf si un motif justi­fi­ca­tif en auto­rise la conser­va­tion. Elles doivent égale­ment cesser de trai­ter à des fins publi­ci­taires les données des clients ayant déjà formulé une telle oppo­si­tion ou demandé leur suppres­sion. Ces mesures doivent être mises en œuvre au plus tard 30 jours après l’entrée en force de la décision.

En cas de non-respect inten­tion­nel de ces obli­ga­tions, les personnes physiques char­gées de veiller au respect de la déci­sion au sein de Cream della Cream et de Philipp Plein risquent une amende pouvant atteindre CHF 250’000.- (art. 63 LPD).

 Appréciation

Le PFPDT rappelle qu’une atteinte à la person­na­lité peut être justi­fiée par un inté­rêt prépon­dé­rant. Il ne procède toute­fois pas à une pesée concrète des inté­rêts, les socié­tés n’ayant invo­qué aucun motif justi­fi­ca­tif et les circons­tances ne permet­tant pas d’en iden­ti­fier un. La déci­sion laisse ainsi ouverte la ques­tion de savoir dans quelles circons­tances un inté­rêt privé, notam­ment écono­mique, pour­rait justi­fier la pour­suite d’un trai­te­ment publi­ci­taire malgré l’opposition expresse de la personne concernée

Par ailleurs et selon nous, les faits sont aussi consti­tu­tifs d’une viola­tion de l’art. 3 al. 1 let. o LCD qui subor­donne en prin­cipe l’en­voi de publi­cité de masse par voie de télé­com­mu­ni­ca­tion au consen­te­ment préa­lable des desti­na­taires et impose une possi­bi­lité de refus simple et gratuite. À cet égard, les liens de désins­crip­tion inopé­rants et l’ab­sence de possi­bi­lité de refus dans les SMS semblent égale­ment poser problème.