Décision du 17 avril 2026 en la cause Enquête au sens de l’art. 49 de la Loi fédérale sur la protection des données (LPD ; RS 235.1) contre Cream della Cream Switzerland GmbH et Philipp Plein International AG

I. A la forme

20 Le PFPDT est chargé de surveiller la bonne application des dispositions fédérales de protection des données (art. 4 al. 1 LPD). La LPD régit le traitement des données personnelles concernant des personnes physiques effectué par des personnes privées (art. 2 al. 1 let. a LPD). Les normes de la LPD s’appliquent à tout auteur du traitement (responsable du traitement ou sous-traitant) qui traite des données personnelles en Suisse. Il s’agit de l’application territoriale de la LPD. Le lieu où se situent les personnes concernées ou leur nationalité ne joue aucun rôle. Seul est déterminant le lieu effectif du traitement (CR LPD-MÉTILLE/DI TRIA, art. 3 no 18 et 19).

21 Cream della Cream Switzerland GmbH, société à responsabilité limitée de siège social à Mendrisio, et Philipp Plein International AG, société anonyme de siège social à Mendrisio, sont des personnes privées au sens de l'art. 2 al. 1 let. a LPD. Ces deux sociétés ont leur siège en Suisse et traitent des données personnelles de personnes situées en Suisse et à l’étranger, notamment à des fins de publicité. La LPD leur est donc applicable.

22 Le PFPDT ouvre d’office ou sur dénonciation une enquête contre un organe fédéral ou une personne privée si des indices suffisants font penser qu’un traitement de données pourrait être contraire à des dispositions de protection des données (art. 49 al. 1 LPD).

II. Au fond 1. Traitement de données personnelles

23 Selon l’art. 5 let. a LPD, sont des données personnelles toutes les informations concernant une personne physique identifiée ou identifiable. Selon l’art. 5 let. d LPD, constitue un traitement toute opération relative à des données personnelles, quels que soient les moyens et procédés utilisés, notamment la collecte, l’enregistrement, la conservation, l’utilisation, la modification, la communication, l’archivage, l’effacement ou la destruction de données.

24 En l’espèce, les parties effectuent des traitements de données personnelles dans la mesure où elles envoient des messages publicitaires à des clients identifiés, en utilisant leur numéro de téléphone et/ou leur adresse électronique pour l’envoi de SMS ou de courriels. 2. Traitement de données personnelles à but publicitaire malgré l’opposition de la personne

25 La LPD vise à protéger la personnalité et les droits fondamentaux des personnes physiques dont les données personnelles font l’objet d’un traitement (art. 1LPD).

26 Celui qui traite des données personnelles ne doit pas porter une atteinte illicite à la personnalité des personnes concernées (art. 30 al. 1 LPD). Constitue une atteinte à la personnalité notamment le fait de traiter des données personnelles contre la manifestation expresse de la volonté de la personne concernée (art. 30 al. 2 let. b LPD). Selon le message, « [i]l découle de cette disposition que la personne concernée a le droit d’interdire expressément un certain traitement, sans avoir à remplir d’autres conditions (opting-out). […] Une manifestation de volonté est expresse lorsqu’elle résulte de mots écrits ou parlés, ou découle d’un signe, et que la volonté exprimée résulte directement de ces mots ou de ce signe. La personne concernée doit exprimer directement par des mots ou des signes qu’elle n’est pas d’accord avec un traitement de données particulier. La manifestation de volonté en tant que telle doit, par la manière dont elle est exprimée, déjà clarifier la volonté. La personne concernée devrait ainsi par exemple résilier un service qui implique un traitement de données ou faire une déclaration écrite ou orale indiquant au responsable du traitement qu’elle ne veut pas que ses données soient traitées (Message concernant la loi fédérale sur la révision totale de la loi fédérale sur la protection des données et sur la modification d’autres lois fédérales du 15 septembre 2017, FF 2017 6565 (Message LPD), p. 6688).

27 Une atteinte à la personnalité est illicite à moins d’être justifiée par le consentement de la personne concernée, par un intérêt privé ou public prépondérant, ou par la loi (art. 31 al. 1 LPD). Conformément à l’art. 8 CC, le responsable du traitement, auteur de l’atteinte, devra établir l’existence d’un motif justificatif (CR LPD-BOILLAT/WERLY, art. 31, n 20).

28 In casu, les parties utilisent les données personnelles – adresses mail et numéros de téléphone – récoltées lors de la vente de produits pour contacter les personnes concernées à des fins publicitaires. Les personnes concernées, par plusieurs moyens différents (envoi de courriel, téléphone, formulaire de contact des sites internet concernés), ont exprimé de manière expresse leur volonté d’interdire le traitement de leurs données personnelles à des fins de publicité. Les parties ont, dans certains cas, ignoré les requêtes des personnes concernées. Dans d'autres cas, elles leur ont confirmé la suppression de leurs données personnelles tout en continuant de leur adresser des messages publicitaires, avant d'ignorer leurs réclamations ultérieures.

29 Dans un cas comme dans l’autre, les traitements de données effectués par les parties (envoi de publicité malgré l’opposition des personnes concernées) le sont contre la manifestation expresse de la volonté des personnes concernées et constituent dès lors une atteinte à la personnalité au sens de l’art. 30 al. 2 let. b LPD.

30 Non seulement les parties n’ont présenté aucun argument dans le cadre de la présente procédure pour justifier leur conduite, mais les faits établis d’office par le PFPDT ne permettent pas non plus de dégager des éléments pouvant conclure à l’existence de motifs justificatifs. L’atteinte à la personnalité constatée n’est dès lors justifiée par aucun motif justificatif. Elle est donc illicite.

3. Droit à la suppression des données personnelles et principe de la bonne foi

31 La LPD prévoit implicitement à l’art 30 al. 2 let. b LPD et à l’art. 6 al. 3 et 4 LPD un droit à l’effacement des données personnelles. Conformément à l’art. 6 al. 3 et 4 LPD, les données personnelles collectées pour une finalité déterminée ne peuvent être conservées que pendant la durée nécessaire à cette finalité. Dès qu’elles ne sont plus nécessaires, elles devraient être détruites ou anonymisées. Si une personne concernée demande au responsable du traitement l’effacement de ses données personnelles, celles-ci doivent être détruites ou anonymisées par le responsable du traitement, à moins que d’autres raisons – notamment une obligation légale de conservation ou l’existence d’un intérêt privé prépondérant – ne justifient exceptionnellement leur conservation. Un traitement de données effectué malgré une demande de suppression est, selon l’art. 30 al. 2 let. b LPD, illicite et constitue une atteinte à la personnalité. Un responsable du traitement qui refuse d’effacer des données doit pouvoir justifier la conservation des données par l’existence d’un motif justificatif spécifique (cf. supra point 2)..

32 Constitue une atteinte à la personnalité notamment le fait de traiter des données personnelles en violation des principes définis à l’art. 6 LPD (art. 30 al. 2 let. a LPD). Selon l’art. 6 al. 2 LPD, tout traitement de données personnelles doit notamment être conforme au principe de la bonne foi. La bonne foi commande d’agir de manière loyale et digne de confiance dans le commerce juridique (CR LPD-MEIER/TSCHUMY, art. 6, n 24). Un traitement de données à l’insu ou contre la volonté de la personne concernée est contraire à la bonne foi (CR LPD-MEIER/TSCHUMY, art. 6, n 25).

33 En l’espèce, les parties traitent des données personnelles des clients – adresses mail et numéros de téléphone – récoltées lors de la vente de produits à des fins publicitaires, concrètement pour des envois publicitaires. Plusieurs personnes concernées ont, par plusieurs moyens différents (envoi de courriel, téléphone, formulaire de contact des sites internet concernés), demandé la suppression de leurs données personnelles, notamment dans le but d’interdire le traitement de celles-ci à des fins de publicité. Les parties ont, dans certains cas, ignoré les requêtes des personnes concernées. Dans d'autres cas, elles leur ont confirmé la suppression de leurs données personnelles tout en continuant de leur adresser des messages publicitaires, avant d'ignorer leurs réclamations ultérieures.

34 Le fait de continuer de traiter les données des personnes concernées à des fins publicitaires après que celles-ci s’y soient opposées ou aient demandé expressément leur suppression constitue une atteinte à la personnalité conformément à l’art. 30 al. 2 let. b LPD. Le fait de continuer de traiter les données des personnes concernées à des fins publicitaires après avoir confirmé la suppression des données personnelles à certaines personnes concernées constitue en outre une violation du principe de la bonne foi et, partant, une atteinte illicite à la personnalité des personnes concernées (art. 30 al. 2 let. a LPD).

35 Les parties ne se sont par ailleurs jamais prononcées sur l'existence d'un motif justificatif, et aucun motif de cette nature ne ressort de l'état de fait retenu. Il y a dès lors lieu de conclure que le seul refus de donner suite aux demandes de suppression formulées par les personnes concernées constitue également une atteinte illicite à leur personnalité.

C. Résumé et mesures

36 En résumé, les parties ont continué d'utiliser à des fins publicitaires les données personnelles (adresses e-mail, numéros de téléphone) collectées dans le cadre de ventes de produits, nonobstant l'opposition clairement exprimée des personnes concernées, ce qui constitue une atteinte illicite à la personnalité.

37 Elles ont, dans plusieurs cas, expressément confirmé aux personnes concernées la suppression de leurs données, et ont omis de respecter le droit à l’effacement tout en poursuivant les envois publicitaires, ce qui caractérise une violation manifeste du principe de bonne foi et constitue une atteinte illicite à la personnalité.

38 Les parties sont tenues de se mettre en conformité avec la LPD : a) en cessant immédiatement tout traitement de données personnelles à des fins publicitaires dès qu’une personne concernée s’y oppose, b) en effaçant sur requête d’une personne concernée toutes ses données personnelles sauf existence d’un motif justificatif et c) en effaçant immédiatement les données personnelles de toutes les personnes ayant déjà formulé une opposition au traitement à des fins publicitaires ou une demande de suppression de leurs données sauf existence d’un motif justificatif.

D. Indication des dispositions pénales 38 Conformément à l’art. 63 LPD, sont punies d’une amende de 250 000 francs au plus les personnes privées qui, intentionnellement, ne se conforment pas à une décision du PFPDT ou d’une autorité de recours, à elles signifiée sous la menace de la peine prévue au présent article.

39 La présente décision est rendue sous la menace de la peine prévu à l’art. 63 LPD. Elle s'adresse aux parties, donc à des personnes morales. En vertu de l'art. 29 du Code pénal (CP ; RS 311.0), la punissabilité s'applique à la ou aux personnes physiques responsables au sein des parties, c'est-à-dire à la ou aux personnes physiques qui, au sein de la société, auraient dû veiller à ce que la décision du préposé soit respectée (v. Message LPD p. 6596 s. et 6718).

E. Emoluments

40 Conformément à l’art. 59 al. 1 let. d LPD, le PFPDT perçoit des émoluments auprès des personnes privées pour les mesures prononcées en vertu de l’art. 51 LPD. En l’espèce, une mesure au sens de l’art. 51 LPD est prononcée à l’encontre des parties. Elle est donc soumise à émolument.

41 La hauteur des émoluments résulte de l’ordonnance sur la protection des données (OPDo ; RS 235.11). L’émolument perçu par le PFPDT se calcule en fonction du temps consacré ; le tarif horaire varie entre 150 et 250 francs, selon la fonction exercée par la personne concernée (art. 44 al. 1 et 2 OPDo).

42 Le temps investi s’élève en l’espèce à un total de 27.5 heures. Il en résulte un total d’émoluments à hauteur de CHF 5500.

43 Les émoluments sont donc fixés à un montant total de CHF 5500 mis à la charge des parties. L’émolument est dû dès l'entrée en force de la décision ; le délai de paiement est en principe de 30 jours à compter de l'échéance (cf. art. 44 al. 5 OPDo cum art. 12 al. 1 let. a et al. 2 OGEmol)

Au vu des faits et sur la base des considérations qui précèdent, le PFPDT

décide :

1. Philipp Plein International AG/Cream della Cream Switzerland GmbH sont tenus de cesser immédiatement tout traitement de données personnelles à des fins de publicité en cas de d’opposition, passée ou future, d’une personne concernée.

2. Philipp Plein International AG/Cream della Cream Switzerland GmbH sont tenus d’effacer toutes données personnelles de personnes concernées à leur demande, à moins d’être au bénéfice d’un motif justificatif.

3. Philipp Plein International AG/Cream della Cream Switzerland GmbH sont tenus de ne plus traiter les données personnelles de personnes concernées qui se seraient opposées à l’utilisation de celles-ci à des fins marketing ou auraient demandé leur suppression à cette même finalité.

4. Les chiffres 1 à 3 doivent être mis en œuvre au plus tard 30 jours après l’entrée en force de la présente décision.

5. Les personnes physiques responsables du respect de la présente décision au sein de Philipp Plein International AG/Cream della Cream Switzerland GmbH sont expressément informées que toute violation des ch. 1 à 3 les expose à une amende, conformément à l'art. 63 LPD, qui dispose que :

«Sont punies d’une amende de 250 000 francs au plus les personnes privées qui, intentionnellement, ne se conforment pas à une décision du PFPDT ou d’une autorité de recours, à elles signifiées sous la menace de la peine prévue au présent article.»

6. Un émolument d’un montant total de CHF 5500 est imposé à Cream della Cream Switzerland GmbH/Philipp Plein International AG.

Adrian Lobsiger Le préposé

Indication des voies de droit La présente décision peut faire l'objet d'un recours dans un délai de 30 jours au Tribunal administratif fédéral (Case postale, 9023 St. Gall). Le recours doit être motivé et déposé en deux exemplaires signés. La décision et les pièces invoquées comme moyens de preuve doivent être joints.